MongoDB Server: Use-after-free in serverseitiger JavaScript-Ausführung
Zusammenfassung
Ein Use-after-free-Fehler in der serverseitigen JavaScript-Ausführung von MongoDB Server erlaubt einem authentifizierten Benutzer mit nur Leseberechtigungen, einen begrenzten Bereich benachbarten Prozessspeichers auszulesen. Der Angreifer sendet einen speziell aufbereiteten Datenbankbefehl, der benutzerdefiniertes JavaScript ausführt, und der Speicherinhalt wird im Befehlsergebnis zurückgegeben. Integrität und Verfügbarkeit sind nicht betroffen, der Angreifer kann jedoch Informationen einsehen, für die er nicht berechtigt ist.
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7 (gemäss CVE-Eintrag)
- Versionen anderer Zweige (8.0, 7.0 und älter): Unbekannt.
Behoben in
- MongoDB Server 9.0.7 (gemäss Verweis auf das Jira-Ticket und einem Drittanbieter-Aggregator)
- Patch-Releases für andere Zweige: Unbekannt, Herstellerhinweis prüfen.
Umgehung
- Keine vom Hersteller dokumentierte Umgehungslösung.
- Provisorische Massnahmen (nicht vom Hersteller genannt): Benutzer mit Leserollen einschränken, die Ausführung von serverseitigem JavaScript beschränken, MongoDB nicht aus unsicheren Netzwerken erreichbar machen.
Ausnutzung
- Zum Zeitpunkt der Analyse ist keine Ausnutzung bekannt.
- Laut OpenCVE nicht im KEV-Katalog der CISA gelistet; der KEV-Katalog wurde nicht direkt geprüft.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Auf MongoDB Server 9.0.7 oder das aktuelle Patch-Release jedes verwendeten Zweigs aktualisieren, im nächsten Wartungsfenster.
- Prüfen, welche Konten und Anwendungen Leserollen besitzen, und unnötige Berechtigungen entfernen.
- Die Nutzung von serverseitigem JavaScript einschränken und sicherstellen, dass MongoDB aus unsicheren Netzwerken nicht erreichbar ist.
- Herstellerhinweis SERVER-134893 und NVD auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-120819 www.cve.org
- MongoDB Jira ticket SERVER-134893 jira.mongodb.org
- OpenCVE CVE-2026-120819 app.opencve.io
- OffSeq Radar: CVE-2026-120819 radar.offseq.com
- threatint CVE-2026-120819 cve.threatint.com
- MongoDB security alerts www.mongodb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.