MongoDB Server: Zertifikatsprüfung im macOS-TLS-Client für IPv6 umgangen
Zusammenfassung
MongoDB-Server-Builds für macOS, die den TLS-Provider Apple SecureTransport verwenden, verwerfen bei ausgehenden Verbindungen zu IPv6-Peers das Prüfergebnis der Zertifikatskette. Ein Angreifer auf dem Übertragungsweg kann ein selbst signiertes Zertifikat mit der IPv6-Adresse des Ziels präsentieren und den verschlüsselten Verkehr zwischen MongoDB-Knoten oder zu externen Diensten abfangen und verändern. Die Standardkonfiguration ist nicht betroffen, und der CVSS-Wert von 9.1 ist noch nicht durch eine NVD-Analyse verifiziert.
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7
- MongoDB Server 8.3.0 bis vor 8.3.16
- MongoDB Server 8.0.0 bis vor 8.0.37
- MongoDB Server 7.0.0 bis vor 7.0.48
- Nur relevant unter macOS mit dem TLS-Provider Apple SecureTransport und ausgehenden Verbindungen zu IPv6-Adressen (gemäss CNA-Beschreibung des Herstellers; die Standardkonfiguration ist nicht betroffen)
Behoben in
- 9.0.7
- 8.3.16
- 8.0.37
- 7.0.48
Umgehung
Unbekannt.
Ausnutzung
Unbekannt. Zum Zeitpunkt der Erstellung wurden weder Berichte über Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Macs mit MongoDB inventarisieren, einschliesslich Entwickler-Rechner und Mac minis.
- Sobald verfügbar, auf eine korrigierte Version (9.0.7, 8.3.16, 8.0.37 oder 7.0.48 oder neuer) aktualisieren.
- Bis zum Patch MongoDB unter macOS nicht für Datenverkehr über unvertrauenswürdige Netze einsetzen.
- Die Ankündigungsseite von MongoDB beobachten und die NVD für die endgültige Schweregradbewertung prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MongoDB Jira ticket SERVER-130681 jira.mongodb.org
- MongoDB security alerts www.mongodb.com
- MongoDB Security Transport Encryption documentation www.mongodb.com
- NVD: CVE-2024-1351 (similar earlier TLS certificate validation issue) nvd.nist.gov
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.