Σύνολα replica MongoDB: use-after-free πριν την πιστοποίηση μπορεί να καταρρίψει διακομιστές (CVE-2026-118383)

Τι συνέβη

Στις 10 Νοεμβρίου 2026, η MongoDB αποκάλυψε το CVE-2026-118383, ένα use-after-free στο στοιχείο replication του MongoDB Server. Έχει βαθμολογία 9.0 με βάση το CVSS. Το σφάλμα μπορεί να συμβεί όταν ένα νεοεκλεγμένο replica set primary ολοκληρώσει το catch-up. Αιτήματα που δεν απαιτούν πιστοποίηση μπορούν να το προκαλέσουν. Το αποτέλεσμα μπορεί να είναι η απρόσμενη διακοπή της διεργασίας του διακομιστή. Υπό ορισμένες συνθήκες, μπορεί επίσης να οδηγήσει σε αυθαίρετη εκτέλεση κώδικα στο πλαίσιο της διεργασίας του διακομιστή.

Σύμφωνα με το The Hacker News, ο κίνδυνος αφορά ένα μέλος replica set που έχει καθυστερήσει και στη συνέχεια γίνεται primary, για παράδειγμα κατά τη διάρκεια failover. Η MongoDB έχει κυκλοφορήσει διορθώσεις. Η ευπάθεια δεν εμφανίζεται στον κατάλογο γνωστών εκμεταλλευόμενων ευπαθειών της CISA, και καμία από τις πηγές δεν αναφέρει επιθέσεις.

Ποιοι επηρεάζονται

• Επηρεάζονται: διεργασίες mongod που τρέχουν ως μέλη replica set. Αυτό περιλαμβάνει τα replica sets shard και τα replica sets config server των sharded clusters.
• Δεν επηρεάζονται: αυτόνομα instances mongod που δεν ανήκουν σε replica set.

Το σφάλμα μπορεί να προκληθεί πριν από την πιστοποίηση, οπότε η ενεργοποίηση της πιστοποίησης δεν σε προστατεύει. Ο υψηλότερος κίνδυνος αφορά μέλη replica set που είναι προσβάσιμα από μη αξιόπιστα δίκτυα ή από πολλούς υπολογιστές εφαρμογών.

Τι να κάνεις τώρα

1. Κατέγραψε τα μέλη του replica set σου. Σε κάθε διακομιστή MongoDB, έλεγξε αν το mongod τρέχει ως μέλος replica set (δες την επόμενη ενότητα). Τα αυτόνομα instances δεν χρειάζονται επείγουσα ενέργεια για αυτό το CVE.
2. Βρες την έκδοση με τη διόρθωση για τη σειρά έκδοσής σου. Το ticket SERVER-138119 της MongoDB (συνδεδεμένο παρακάτω) αποτελεί μέρος της διόρθωσης. Αναφέρει τις εκδόσεις διόρθωσης 9.0.7, 8.3.16, 8.0.37, 7.0.48, 6.0.30, 5.0.35 και 4.4.32. Σύγκρινέ το με το SERVER-138175 για να επιβεβαιώσεις την έκδοση για τη σειρά σου.
3. Πραγματοποίησε αντίγραφο ασφαλείας της ρύθμισής σου. Αποθήκευσε το /etc/mongod.conf (ή το αντίστοιχο αρχείο σου) και επιβεβαίωσε ότι υπάρχει πρόσφατο αντίγραφο ασφαλείας των δεδομένων σου.
4. Ενημέρωσε ένα μέλος τη φορά. Ξεκίνα με τους secondaries. Ενημέρωσε το πακέτο (για παράδειγμα apt install mongodb-org ή dnf update mongodb-org), κάνε restart το mongod και περίμενε μέχρι το μέλος να εμφανιστεί ξανά ως SECONDARY στο rs.status(). Στη συνέχεια εκτέλεσε rs.stepDown() στο primary και ενημέρωσέ το τελευταίο. Σε sharded clusters, ενημέρωσε το replica set των config servers και κάθε replica set shard.
5. Περιόρισε την πρόσβαση στο δίκτυο. Η θύρα 27017 (ή η δική σου προσαρμοσμένη θύρα) πρέπει να είναι προσβάσιμη μόνο από διακομιστές εφαρμογών και τα άλλα μέλη του cluster. Χρησιμοποίησε το firewall σου ή το bindIp για να το εξασφαλίσεις, τόσο τώρα όσο και μετά την ενημέρωση.
6. Πρόσεχε για κρασαρίσματα. Έλεγξε τα logs του mongod και την παρακολούθηση των υπηρεσιών σου για απρόσμενες επανεκκινήσεις, ειδικά κατά τις εκλογές και τα failover.

Πώς να ελέγξεις αν επηρεάζεσαι

• Έλεγξε την έκδοση με mongod --version, ή στο mongosh με db.version().
• Έλεγξε τη συμμετοχή στο replica set στο mongosh με db.hello().setName. Αν επιστραφεί ένα όνομα, το instance είναι μέλος replica set και επηρεάζεται μέχρι να ενημερωθεί. Αν δεν επιστραφεί τίποτα και το rs.status() αναφέρει ότι το instance δεν τρέχει με replication, είναι αυτόνομο instance και δεν επηρεάζεται.
• Για sharded clusters, εκτέλεσε τον έλεγχο σε κάθε μέλος shard και κάθε μέλος config server.
• Αν ένα μέλος έχει παλαιότερη έκδοση από τη διορθωμένη για τη σειρά έκδοσής του, ενημέρωσέ το.

Πηγές

• https://nvd.nist.gov/vuln/detail/CVE-2026-118383
• https://jira.mongodb.org/browse/SERVER-138119