MongoDB Server: Race Condition in der geospatialen Schema-Validierung
Zusammenfassung
Eine Race Condition in der Schema-Validierung von MongoDB Server kann auftreten, wenn gleichzeitige Schreibvorgänge gegen einen Collection-Validator geprüft werden, der geospatiale Abfrageoperatoren verwendet. Ein authentifizierter Benutzer mit Schreibrechten kann dies auslösen, und der Server kann unerwartet beendet werden. Die Auswirkung ist eine Denial of Service; der CVSS-Vektor zeigt keine Auswirkung auf Vertraulichkeit oder Integrität.
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7
- MongoDB Server 8.3.0 bis vor 8.3.16
- MongoDB Server 8.0.0 bis vor 8.0.37
- MongoDB Server 7.0.0 bis vor 7.0.48
- Versionen 6.0 und älter: Unbekannt (nicht im CNA-Eintrag aufgeführt)
- Die Standardkonfiguration ist nicht betroffen; das Problem erfordert einen Validator mit geospatialen Abfrageoperatoren.
Behoben in
- 9.0.7
- 8.3.16
- 8.0.37
- 7.0.48
Umgehung
- Kein vom Hersteller genannter Workaround. Die korrigierten Versionen einspielen.
- Schreibzugriff auf vertrauenswürdige Benutzer beschränken (allgemeine Härtungsmassnahme, keine Herstellerempfehlung).
Ausnutzung
- Gemäss Aggregatordaten ist per 10. Nov 2026 keine Ausnutzung bekannt.
- Kein öffentlicher Proof of Concept gefunden; fehlende Treffer in der Suche sind kein Beweis für das Fehlen eines Exploits.
- Im geprüften Stand nicht im CISA KEV aufgeführt.
Unsere Empfehlung
- Prüfen, ob der Server 7.0, 8.0, 8.3 oder 9.0 unterhalb der korrigierten Version betreibt, und im nächsten Wartungsfenster patchen.
- Früher patchen, wenn Schreibzugriff auf die Datenbank mit nicht vertrauenswürdigen Benutzern geteilt wird oder die Datenbank über das interne Netz hinaus erreichbar ist.
- Das gesamte MongoDB-Release einspielen, das am selben Datum veröffentlicht wurde, da andere Korrekturen in diesem Paket schwerwiegender sind.
- Prüfen, welche Konten Schreibrechte besitzen, und auf unerwartete Serverneustarts achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-120817 www.cve.org
- MongoDB Jira SERVER-135655 jira.mongodb.org
- MongoDB Alerts www.mongodb.com
- Strix CVE-2026-120817 www.strix.ai
- OffSeq Radar CVE-2026-120817 radar.offseq.com
- Threatint CVE-2026-120817 cve.threatint.com
- SecurityOnline MongoDB vulnerabilities 2026 securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.