MongoDB Server: Denial of Service durch unkontrollierte Rekursion in Time-Series-Abfragen
Zusammenfassung
Die Abfrageverarbeitung von MongoDB Server enthält einen Fehler mit unkontrollierter Rekursion bei der Abfragekompilierung für Time-Series-Collections. Ein authentifizierter Benutzer mit Leserechten kann eine präparierte Abfrage senden, die den Stack erschöpft und den mongod-Prozess zum Absturz bringt. Die Auswirkung beschränkt sich auf die Verfügbarkeit, und der Angriff setzt ein gültiges Konto mit Leserechten voraus.
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7
- MongoDB Server 8.3.0 bis vor 8.3.16
- Ältere Zweige: Unbekannt.
Behoben in
- MongoDB Server 9.0.7
- MongoDB Server 8.3.16
- Ältere Zweige: Unbekannt.
Umgehung
Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept oder Exploit-Code gefunden.
- Nicht in CISA KEV gelistet.
Unsere Empfehlung
- Alle MongoDB-Server-Instanzen und deren Versionen erfassen, insbesondere 9.0.x vor 9.0.7 und 8.3.x vor 8.3.16.
- Auf 9.0.7 oder 8.3.16 oder neuer aktualisieren. Dieselbe Version behebt auch das schwerwiegendere CVE-2026-118383.
- Konten mit Leserechten prüfen und nicht benötigte Konten entfernen.
- Firewall-Regeln und Bind-Adressen so einschränken, dass mongod nicht aus unvertrauenswürdigen Netzen erreichbar ist.
- Für ältere Zweige das Jira-Ticket SERVER-131961 und die Herstellerwarnung für die endgültigen Details prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-120812 www.cve.org
- MongoDB Jira SERVER-131961 jira.mongodb.org
- MongoDB Alerts www.mongodb.com
- MongoDB community security update, 10 Nov 2026 www.mongodb.com
- SecurityOnline: MongoDB Server CVE-2026-118383 fixed securityonline.info
- CVE-2026-120812 tracker (threatint) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:47.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.