MongoDB Server: Privilegieneskalation durch fail-open X.509-Cluster-Mitgliedsprüfung
Zusammenfassung
Ein Fehler in der X.509-Prüfung der Cluster-Mitgliedschaft von MongoDB Server kann es einem Angreifer mit einem gültigen Cluster-Mitglieder-Zertifikat erlauben, volle interne Systemprivilegien zu erlangen. Die Prüfung behandelt vorübergehende Fehler bei der Benutzersuche gleich wie einen fehlenden Benutzer, sodass die Authentifizierung fortgesetzt statt abgelehnt wird. Die Ausnutzung setzt ein gültiges Cluster-Mitglieder-Zertifikat, eine nicht standardmässige X.509-Cluster-Authentifizierungskonfiguration und einen bestimmten Zeitpunkt beim Cache-Lookup des Benutzers voraus.
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7
- MongoDB Server 8.3.0 bis vor 8.3.16
- MongoDB Server 8.0.0 bis vor 8.0.37
- MongoDB Server 7.0.0 bis vor 7.0.48
- Die Standardkonfiguration ist nicht betroffen.
- Versionen 6.0 und älter: Unbekannt.
Behoben in
- 9.0.7
- 8.3.16
- 8.0.37
- 7.0.48
Umgehung
- Kein vom Hersteller bestätigter Workaround. Das Patchen ist die Massnahme.
- Falls das Patchen verzögert wird: Netzwerkzugriff auf die Cluster-Mitglieder-Ports einschränken, die privaten Schlüssel der Mitgliederzertifikate schützen und prüfen, welche Zertifikate als Cluster-Mitglieder vertraut werden.
Ausnutzung
- In freier Wildbahn ausgenutzt: Keine Hinweise gefunden.
- Öffentlicher Proof of Concept: Unbekannt.
- NVD-Status zum Zeitpunkt der Analyse: Awaiting Analysis.
Unsere Empfehlung
- Prüfen, ob MongoDB-Cluster clusterAuthMode x509 mit erweiterungsbasierter oder benutzerdefinierter Cluster-Mitgliedschaft verwenden.
- Falls ja, auf die korrigierten Versionen mit Priorität aktualisieren.
- Falls nein, das Update im nächsten regulären Wartungszyklus einplanen.
- MongoDB-Versionen inventarisieren und den Zugriff auf die Cluster-Mitglieder-Ports einschränken.
- Das Herstelleradvisory vor dem Rollout überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MongoDB Jira SERVER-130169 jira.mongodb.org
- MongoDB Security Alerts www.mongodb.com
- CVE-2026-120807 on threatint cve.threatint.com
- CVE-2026-120807 on Strix www.strix.ai
- MongoDB internal authentication documentation www.mongodb.com
- Rotate X.509 membership certificates www.mongodb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.