MongoDB Server: Denial of Service durch unkontrollierte Speichernutzung in Aggregation
Zusammenfassung
Das Aggregation Framework von MongoDB Server stellt eine interne Expression, $_internalKeyStringValue, allen authentifizierten Clients zur Verfügung, obwohl sie intern benannt ist. Ein authentifizierter Benutzer mit Leserechten kann über mehrere parallele Verbindungen speziell gestaltete Aggregate-Befehle senden, was zu unbegrenzter Speicherallokation führt. Dadurch kann der Arbeitsspeicher des Servers erschöpft werden, sodass der Out-of-Memory-Killer des Betriebssystems den Prozess mongod beendet und verbundene Anwendungen ausfallen.
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7
- MongoDB Server 8.3.0 bis vor 8.3.16
- MongoDB Server 8.0.0 bis vor 8.0.37
- MongoDB Server 7.0.0 bis vor 7.0.48
- Standardkonfiguration: nicht betroffen (gemäss CVE-Eintrag)
- Versionen 6.0 und älter: nicht aufgeführt; mit der Herstellerinformation prüfen
Behoben in
- 9.0.7
- 8.3.16
- 8.0.37
- 7.0.48
Umgehung
Keine vom Hersteller dokumentierte Workaround-Massnahme bekannt. Temporäre Massnahmen (nicht vom Hersteller): Leserechte auf notwendige Konten beschränken und Netzwerkzugriff auf mongod auf Applikationsserver begrenzen.
Ausnutzung
Zum Zeitpunkt der Recherche keine Hinweise auf Ausnutzung in freier Wildbahn oder einen öffentlichen Proof of Concept gefunden. CISA-KEV-Status: nicht geprüft.
Unsere Empfehlung
- Alle MongoDB-Instanzen der Versionen 7.0, 8.0, 8.3 und 9.0 identifizieren und deren Versionen bestätigen.
- Upgrades auf die korrigierten Versionen planen; Instanzen, die über das interne Netzwerk hinaus erreichbar sind, und solche mit vielen Konten mit Leserechten priorisieren.
- Netzwerkzugriff auf mongod einschränken und Konten mit Leserechten überprüfen.
- Auf unerwartete Neustarts von mongod oder steigenden Speicherverbrauch achten.
- Jira-Ticket und Release Notes prüfen, um den Inhalt der Korrektur zu bestätigen.
- CVSS-4.0-Basisscore 7.1 (HIGH); CVSS-3.1-Score 6.5 gemäss CNA.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-120810 www.cve.org
- MongoDB Jira ticket SERVER-132430 jira.mongodb.org
- Vulners PT-2026-120810 vulners.com
- Threat Intelligence CVE-2026-120810 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:08.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.