MongoDB Server: Fehlende Berechtigungsprüfung in der Localhost-Ausnahme
Zusammenfassung
Eine fehlerhafte Berechtigungsprüfung im Autorisierungs-Subsystem von MongoDB Server erlaubt einem nicht authentifizierten Benutzer mit lokalem Zugriff auf den Host, Benutzer mit administrativen Rechten auf einem Server mit aktivierter Autorisierung anzulegen. Die Schwachstelle tritt auf, wenn der erste Benutzer in der Datenbank "$external" angelegt wird, da die Localhost-Ausnahme dann offen bleibt. Ein Angreifer könnte gespeicherte Daten und Zugangsdaten lesen, Daten verändern oder den Server stören.
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7
- MongoDB Server 8.3.0 bis vor 8.3.16
- MongoDB Server 8.0.0 bis vor 8.0.37
- MongoDB Server 7.0.0 bis vor 7.0.48
- Standardkonfiguration: nicht betroffen
Behoben in
- Upgrade auf MongoDB Server 9.0.7 oder neuer
- Upgrade auf MongoDB Server 8.3.16 oder neuer
- Upgrade auf MongoDB Server 8.0.37 oder neuer
- Upgrade auf MongoDB Server 7.0.48 oder neuer
- Die Versionen stammen aus dem Jira-Ticket SERVER-134872; das Sicherheitsadvisory wurde nicht abgerufen und sollte verifiziert werden.
Umgehung
Unbekannt. Es wurde keine Herstellerempfehlung zur Abschwächung gefunden. Eine Benchmark-Einstellung (enableLocalhostAuthBypass=0) könnte relevant sein, ob sie diese Schwachstelle blockiert, ist jedoch nicht bestätigt; zuerst in einer Nicht-Produktionsumgebung testen.
Ausnutzung
- Angriffsvektor: lokal (lokaler Host-Zugriff erforderlich)
- Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt
- Kein öffentlicher Proof of Concept bekannt
- Nicht im CISA-KEV-Katalog aufgeführt
- NVD-Status: Awaiting Analysis
Unsere Empfehlung
- Alle MongoDB-Instanzen und deren Versionen inventarisieren, einschliesslich mitgelieferter und Docker-basierter Installationen.
- Upgrades auf die korrigierten Versionen planen, sobald das Sicherheitsadvisory des Herstellers bestätigt ist.
- Bis dahin den lokalen Zugriff auf Datenbank-Hosts einschränken und diese nicht mit nicht vertrauenswürdigen Workloads teilen.
- Die Konfiguration der Localhost-Ausnahme prüfen und die Auswirkungen in einer Nicht-Produktionsumgebung testen.
- NVD und das MongoDB-Advisory in einigen Tagen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-120815 www.cve.org
- MongoDB Jira ticket SERVER-134872 jira.mongodb.org
- MongoDB community security update, November 10, 2026 www.mongodb.com
- CIS MongoDB 5 Benchmark Level 1 (Tenable audit) www.tenable.com
- Strix AI CVE-2026-120815 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:10.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.