MongoDB Server: Speicherausschöpfung durch verwaiste Read-Concern-Wartedatensätze
Zusammenfassung
Replica-Set-Knoten von MongoDB Server begrenzen die internen Wartedatensätze nicht und räumen sie nicht auf, die beim Verarbeiten einer vom Client gelieferten Leseoption entstehen, welche einen Zeitpunkt angibt, den der Knoten nie erreicht. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf den Datenbankport kann bewirken, dass sich diese Datensätze unbegrenzt ansammeln und auch nach Ende der Anfragen bestehen bleiben. Dies kann den Arbeitsspeicher des Servers erschöpfen und die Datenbank nicht verfügbar machen (Denial of Service).
Betroffen
- MongoDB Server 9.0.0 bis vor 9.0.7
- MongoDB Server 8.3.0 bis vor 8.3.16
- MongoDB Server 8.0.0 bis vor 8.0.37
- MongoDB Server 7.0.0 bis vor 7.0.48
- MongoDB Server 6.0.0 bis vor 6.0.30
- MongoDB Server 5.0.0 bis vor 5.0.35
- MongoDB Server 4.4.0 bis vor 4.4.32
- Standardkonfiguration: nicht betroffen
- Versionen 3.x und älter: Unbekannt.
Behoben in
- 9.0.7
- 8.3.16
- 8.0.37
- 7.0.48
- 6.0.30
- 5.0.35
- 4.4.32
Umgehung
- Der Hersteller nennt keine Workaround.
- Übergangsmassnahme (nicht vom Hersteller bestätigt): Netzwerkzugriff auf die mongod-Ports auf bekannte Hosts beschränken.
Ausnutzung
- Gemäss OffSeq zum Zeitpunkt der Recherche nicht als ausgenutzt bekannt.
- Es wurden kein öffentlicher Proof of Concept, kein Metasploit- oder Exploit-DB-Eintrag und kein Eintrag im CISA KEV Katalog gefunden.
- Für die Ausnutzung genügt Netzwerkzugriff auf den Datenbankport ohne Zugangsdaten.
Unsere Empfehlung
- Prüfen Sie, ob MongoDB-Server-Instanzen, insbesondere Replica-Set-Knoten, aus unvertrauenswürdigen Netzwerken erreichbar sind.
- Aktualisieren Sie betroffene Instanzen auf die oben genannten Fixversionen, idealerweise im selben Wartungsfenster wie weitere aktuelle MongoDB-Patches.
- Beschränken Sie bis zur Aktualisierung den Zugriff auf den mongod-Port auf vertrauenswürdige Applikationsserver und Administratoren.
- Überwachen Sie den Speicherverbrauch der Datenbankserver auf ungewöhnliches Wachstum und prüfen Sie NVD und CISA KEV, sobald die Analyse abgeschlossen ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Jira SERVER-138119 (MongoDB vendor ticket) jira.mongodb.org
- CVE Record CVE-2026-120828 (CNA: MongoDB) www.cve.org
- MongoDB Security Alerts www.mongodb.com
- Strix CVE-2026-120828 www.strix.ai
- OffSeq Radar CVE-2026-120828 radar.offseq.com
- MongoDB Community Download (product reference) www.mongodb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 00:58.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.