MongoDB Server: Klartextspeicherung verschlüsselter Felder durch doppelte Schema-Schlüssel
Zusammenfassung
Die Verarbeitung von clientseitiger Feldverschlüsselung (CSFLE) in MongoDB Server verwirft Verschlüsselungsmetadaten stillschweigend, wenn ein Schema doppelte Schlüssel in properties oder patternProperties enthält. Zur Verschlüsselung vorgesehene sensible Felder können dadurch im Klartext gespeichert werden, wodurch der Vertraulichkeitsschutz umgangen wird. Voraussetzung ist, dass ein manipuliertes Schema den CSFLE-Client erreicht, zum Beispiel über eine Man-in-the-Middle-Position oder einen nicht vertrauenswürdigen Server.
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7
- MongoDB Server 8.3.0 bis vor 8.3.16
- MongoDB Server 8.0.0 bis vor 8.0.37
- MongoDB Server 7.0.0 bis vor 7.0.48
- Versionen 6.0 und älter: Unbekannt.
- Standardkonfiguration: nicht betroffen.
Behoben in
- Behoben in 9.0.7, 8.3.16, 8.0.37 und 7.0.48 (abgeleitet aus den betroffenen Bereichen; gegen das MongoDB-Jira-Ticket SERVER-132517 prüfen).
Umgehung
- Kein Workaround des Herstellers bekannt.
- Verschlüsselungsschemas nur aus vertrauenswürdigen Quellen laden.
- TLS mit Zertifikatsprüfung zwischen Anwendungen, Datenbank und Schlüsselverwaltungssystem sicherstellen.
- Feldverschlüsselung nach Möglichkeit serverseitig über Schema-Validierung erzwingen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- CISA-KEV-Status: Nicht geprüft.
Unsere Empfehlung
- MongoDB-Server-Versionen inventarisieren und mit den behobenen Versionen vergleichen.
- Anwendungen identifizieren, die CSFLE oder automatische Verschlüsselung verwenden.
- Betroffene Instanzen nach Prüfung der Herstellerwarnung auf die behobenen Versionen aktualisieren.
- Netzwerkpfade und Zertifikatsprüfung für CSFLE-Clients prüfen, insbesondere über nicht vertrauenswürdige Netze.
- NVD-Eintrag erneut prüfen, da dieser zum Zeitpunkt der Recherche noch in Analyse war.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MongoDB Jira ticket SERVER-132517 jira.mongodb.org
- MongoDB Alerts www.mongodb.com
- Threatint CVE record cve.threatint.com
- Strix CVE record www.strix.ai
- MongoDB CSFLE documentation www.mongodb.com
- MongoDB explicit client-side encryption documentation docs.mongodb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.