MongoDB Server: Unkontrollierter Ressourcenverbrauch in Statistik verschlüsselter Felder
Zusammenfassung
MongoDB Server führt eine In-Memory-Tabelle mit Statistiken pro Namespace für Operationen mit Informationen zu verschlüsselten Feldern. Für jeden in einer Anfrage genannten Namespace wird ein Eintrag erstellt, der nur bei Löschung einer echten verschlüsselten Collection entfernt wird. Ein authentifizierter Benutzer mit grundlegenden Leserechten kann wiederholt Lesebefehle mit beliebigen Namespace-Namen senden, wodurch der Speicherverbrauch stetig steigt und die Leistung abnimmt, bis der Serverprozess neu gestartet wird. Die Schwachstelle betrifft nur die Verfügbarkeit.
Betroffen
- MongoDB Server 9.0.0 vor 9.0.7
- MongoDB Server 8.3.0 vor 8.3.16
- MongoDB Server 8.0.0 vor 8.0.37
- Standardkonfiguration: nicht betroffen (gemäss CVE-Eintrag)
- Andere Zweige: Unbekannt.
Behoben in
- MongoDB Server 9.0.7
- MongoDB Server 8.3.16
- MongoDB Server 8.0.37
- Die Fix-Versionen 9.1.0-rc0 und 9.1.0-rc1025 sind im Jira-Ticket ebenfalls aufgeführt.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Leserechte auf vertrauenswürdige Benutzer beschränken.
- MongoDB nicht über öffentliche Netzwerke erreichbar machen.
- Speicherverbrauch des Servers überwachen und den Dienst bei ungewöhnlichem Wachstum neu starten (dies gibt nur Speicher frei und behebt die Schwachstelle nicht).
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- Nicht im KEV-Katalog der CISA aufgeführt.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Auf MongoDB Server 9.0.7, 8.3.16 oder 8.0.37 oder eine neuere Version aktualisieren, im nächsten regulären Wartungsfenster; früher, falls MongoDB aus dem Internet erreichbar ist oder von vielen Anwendungen genutzt wird.
- Dieselbe Version zusammen mit den Korrekturen für andere am selben Tag veröffentlichte MongoDB-CVEs installieren.
- Prüfen, welche Konten und Anwendungen Leserechte besitzen, und nicht benötigte Zugriffe entfernen.
- Speicherverbrauch der Prozesse mongod und mongos überwachen.
- Die Fix-Versionen im MongoDB-Jira-Ticket bestätigen, da die NVD-Analyse noch aussteht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-120820 www.cve.org
- MongoDB Jira SERVER-135737 jira.mongodb.org
- MongoDB Server serverStatus documentation www.mongodb.com
- OpenCVE CVE-2026-120820 app.opencve.io
- Strix CVE-2026-120820 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.