MongoDB Server: Use-after-free bei der Validierung von Time-Series-Buckets
Zusammenfassung
Ein Use-after-free in der Time-Series-Komponente von MongoDB Server kann auftreten, wenn der Server ein Bucket-Dokument bei einem Schreibvorgang validiert. Ein authentifizierter Benutzer mit der Berechtigung, Bucket-Dokumente direkt zu schreiben, kann den Serverprozess zum Absturz bringen und unter bestimmten Bedingungen beliebigen Code mit den Rechten des mongod-Prozesses ausführen. Der CNA stuft die Lücke mit CVSS 4.0 8.7 (High) ein.
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7
- MongoDB Server 8.3.0 bis vor 8.3.16
- MongoDB Server 8.0.0 bis vor 8.0.37
- MongoDB Server 7.0.0 bis vor 7.0.48
- Hinweis: Das Herstellerticket besagt, dass 7.0 über den Pfad der strikten Validierung nicht betroffen ist; der Pfad beim Wiedereröffnen des Katalogs wird noch untersucht.
Behoben in
- Auf MongoDB Server 9.0.7, 8.3.16, 8.0.37 oder 7.0.48 aktualisieren (oder auf eine neuere Version desselben Zweigs).
Umgehung
- Unbekannt. In den Quellen wurde kein Workaround des Herstellers gefunden.
- Den Schreibzugriff auf Bucket-Collections von Time-Series bis zur Behebung auf die minimale Anzahl vertrauenswürdiger Konten beschränken.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn gemeldet. Die CVE ist (Stand 10. Nov 2026) nicht im CISA-KEV-Katalog aufgeführt.
- Das Herstellerticket besagt, dass ein externer Melder eine Rechteausweitung bis zur beliebigen Befehlsausführung demonstriert hat.
- Kein öffentlicher Exploit in Metasploit, Exploit-DB oder als Nuclei-Template gefunden (Stand 10. Nov 2026, Aggregator OffSeq).
Unsere Empfehlung
- Alle MongoDB-Server-Instanzen inventarisieren und ihre Versionen mit den betroffenen Bereichen abgleichen.
- Betroffene Instanzen im nächsten Wartungsfenster patchen, zuerst jene, die von ausserhalb des internen Netzwerks erreichbar sind.
- Konten mit Schreibrollen auf Bucket-Collections überprüfen und nicht benötigte Berechtigungen entfernen.
- MongoDB nicht im öffentlichen Internet betreiben und Logs auf unerwartete Abstürze oder Schreibaktivitäten in Time-Series-Collections überwachen.
- NVD und CISA KEV erneut prüfen, sobald die NVD-Analyse veröffentlicht ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- MongoDB Jira SERVER-136505 jira.mongodb.org
- CVE Record CVE-2026-120824 www.cve.org
- Strix CVE-2026-120824 www.strix.ai
- OffSeq Radar CVE-2026-120824 radar.offseq.com
- MongoDB Time-Series Bucketing documentation www.mongodb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 00:58.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.