MongoDB Server: Use-after-free im Plan-Cache der klassischen Abfrage-Engine
Zusammenfassung
Eine Use-after-free-Schwachstelle im Plan-Cache der klassischen Abfrage-Engine von MongoDB Server kann Speicherinhalte des Serverprozesses offenlegen. Ein authentifizierter Benutzer, der Update- oder bulkWrite-Befehle mit einer Sortierangabe ausführt, kann später über $planCacheStats einen Zugriff auf freigegebenen Speicher auslösen, und die Daten werden an den Client zurückgegeben. Unter bestimmten Bedingungen bei der Speicherwiederverwendung kann der Server zudem abstürzen. Der CVSS-4.0-Basiswert beträgt 6.0 (MEDIUM).
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7
- MongoDB Server 8.3.0 bis vor 8.3.16
- MongoDB Server 8.0.0 bis vor 8.0.37
- MongoDB Server 7.0.0 bis vor 7.0.48
- Versionen vor 7.0.0: Unbekannt.
- Der CNA-Eintrag gibt an, dass die Standardkonfiguration nicht betroffen ist.
Behoben in
- MongoDB Server 9.0.7 oder neuer
- MongoDB Server 8.3.16 oder neuer
- MongoDB Server 8.0.37 oder neuer
- MongoDB Server 7.0.48 oder neuer
- Die Jira-Fixversionen nennen zusätzlich 9.1.0-rc0 und 9.1.0-rc1025.
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden. Ein Update ist in den geprüften Quellen die einzige Massnahme.
Ausnutzung
- In den geprüften Quellen wurden keine Berichte über eine Ausnutzung in freier Wildbahn gefunden.
- Es ist kein öffentlicher Exploit bekannt. Das Reproduktionsbeispiel ist vom Hersteller eingeschränkt (SECBUG-1570).
- MongoDB hat das Problem unter AddressSanitizer als Heap-use-after-free bestätigt.
Unsere Empfehlung
- Alle MongoDB-Instanzen und deren Versionen inventarisieren.
- Jede Instanz auf die korrigierte Version ihrer Release-Linie aktualisieren (7.0.48, 8.0.37, 8.3.16 oder 9.0.7 und neuer). Die Version vor dem Rollout auf der Download-Seite von MongoDB prüfen.
- MongoDB nicht aus dem Internet erreichbar machen. Den Netzwerkzugriff auf vertrauenswürdige Hosts beschränken.
- Prüfen, welche Konten sich authentifizieren können, und nicht benötigte Zugriffe entfernen.
- Das MongoDB-Advisory und den NVD-Eintrag in einigen Tagen erneut prüfen, da die NVD-Analyse zum Zeitpunkt der Veröffentlichung noch ausstand.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MongoDB Jira ticket SERVER-135353 jira.mongodb.org
- Strix AI: CVE-2026-120811 www.strix.ai
- ThreatInt: CVE-2026-120811 cve.threatint.com
- MongoDB 9.0 release notes www.mongodb.com
- MongoDB Community Forum: MongoDB 9.0.7 is released www.mongodb.com
- MongoDB downloads archive www.mongodb.com
- SecurityOnline: MongoDB CVE-2026-118383 fixed in same release line securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:46.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.