MongoDB Server: Use-after-free in Aggregation-Sub-Pipelines
Zusammenfassung
Eine Use-after-free-Schwachstelle im Aggregation-Framework von MongoDB Server kann auftreten, wenn bestimmte Ausdrücke in einer Aggregation-Sub-Pipeline ausgewertet werden. Ein authentifizierter Benutzer mit Leseberechtigungen kann diese auslösen, wobei der Server unerwartet beendet werden kann. Gemäss CVSS-Vektor beschränkt sich die Auswirkung auf die Verfügbarkeit; Vertraulichkeit und Integrität sind nicht betroffen.
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7
- Andere Zweige (8.x, 7.x und ältere): Unbekannt.
Behoben in
- Behoben in MongoDB Server 9.0.7.
Umgehung
- Dem Hersteller ist keine Workaround-Lösung bekannt.
- Ein inoffizieller Vorschlag lautet, den Zugriff auf vertrauenswürdige Benutzer zu beschränken und während der ausstehenden Aktualisierung auf unerwartete Serverabbrüche zu überwachen.
Ausnutzung
- Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; der Status im CISA-KEV-Katalog ist nicht verifiziert.
- Es wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- MongoDB Server auf 9.0.7 oder neuer aktualisieren, im Rahmen des umfassenderen Sicherheitsreleases.
- Bis zur Aktualisierung Konten mit Leseberechtigungen prüfen und den Netzwerkzugriff auf MongoDB einschränken, insbesondere aus nicht vertrauenswürdigen Netzwerken.
- Prüfen, ob andere MongoDB-Zweige im Einsatz sind, und deren Status im Sicherheitshinweis des Herstellers verifizieren.
- Logs auf unerwartete Serverneustarts überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MongoDB Jira ticket SERVER-136285 jira.mongodb.org
- CVE-2026-120821 record summary (threatint) cve.threatint.com
- CVE-2026-120821 on OffSeq Radar radar.offseq.com
- CVE-2026-120821 on Strix AI www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.