MongoDB-replikasetit: kirjautumaton use-after-free voi kaataa palvelimet (CVE-2026-118383)

Mitä tapahtui

10. marraskuuta 2026 MongoDB julkaisi CVE-2026-118383:n, use-after-free -virheen MongoDB Serverin replikointikomponentissa. CVSS-luokitus on 9.0. Virhe voi ilmetä, kun äskettäin valittu replikasetin primaari on saanut kiinni muut jäsenet. Pyynnöt, jotka eivät vaadi todennusta, voivat käynnistää sen. Seurauksena palvelinprosessi voi pysähtyä odottamatta. Tietyissä olosuhteissa se voi myös johtaa mielivaltaiseen koodin suorittamiseen palvelinprosessin kontekstissa.

The Hacker Newsin mukaan riski kohdistuu replikasetin jäseneen, joka on jäänyt jälkeen ja tulee sitten primaariksi, esimerkiksi failoverin aikana. MongoDB on julkaissut korjaukset. Haavoittuvuutta ei ole CISA:n tunnettujen hyödynnettyjen haavoittuvuuksien luettelossa, eikä yksikään lähde raportoi hyökkäyksistä.

Keitä asia koskee

• Vaarassa: mongod-prosessit, jotka toimivat replikasetin jäseninä. Tähän kuuluvat sharded-klusterien shard-replikasetit ja config-palvelimien replikasetit.
• Ei vaarassa: itsenäiset mongod-instanssit, jotka eivät kuulu replikasetiin.

Virhe voidaan käynnistää ennen todennusta, joten todennuksen käyttöönotto ei suojaa sinua. Suurin riski on replikasetin jäsenissä, joihin epäluotettavat verkot tai monet sovellusisännät pääsevät.

Mitä kannattaa tehdä nyt

1. Listaa replikasetin jäsenet. Tarkista jokaisella MongoDB-palvelimella, toimiiko mongod replikasetin osana (katso seuraava osio). Itsenäiset instanssit eivät tarvitse tämän CVE:n takia kiireellisiä toimia.
2. Selvitä korjattu versio julkaisusarjallesi. MongoDB-ticket SERVER-138119 (linkitetty alla) on osa korjausta. Se listaa korjausversiot 9.0.7, 8.3.16, 8.0.37, 7.0.48, 6.0.30, 5.0.35 ja 4.4.32. Vertaa tätä SERVER-138175:een vahvistaaksesi version omalle sarjallesi.
3. Varmuuskopioi asetukset. Tallenna /etc/mongod.conf (tai vastaava) ja varmista, että datastasi on tuore varmuuskopio.
4. Päivitä yksi jäsen kerrallaan. Aloita sekundaareista. Päivitä paketti (esimerkiksi apt install mongodb-org tai dnf update mongodb-org), käynnistä mongod uudelleen ja odota, kunnes jäsen näkyy jälleen tilassa SECONDARY komennossa rs.status(). Aja sitten rs.stepDown() primaarille ja päivitä se viimeisenä. Sharded-klustereissa päivitä config-palvelimien replikasetti ja jokainen shard-replikasetti.
5. Rajoita verkkoyhteyksiä. Portin 27017 (tai oma porttisi) tulisi olla tavoitettavissa vain sovelluspalvelimilta ja muilta klusterin jäseniltä. Käytä palomuuria tai bindIp-asetusta tämän varmistamiseen, sekä nyt että päivityksen jälkeen.
6. Seuraa kaatumisia. Tarkista mongod-lokit ja palvelun valvonta odottamattomien uudelleenkäynnistysten varalta, erityisesti vaalien ja failoverien aikaan.

Miten tarkistat, oletko vaarassa

• Tarkista versio komennolla mongod --version tai mongoshissa komennolla db.version().
• Tarkista replikasetin jäsenyys mongoshissa komennolla db.hello().setName. Jos nimi palautuu, instanssi on replikasetin jäsen ja on vaarassa, kunnes se päivitetään. Jos mitään ei palaudu ja rs.status() ilmoittaa, ettei instanssi käytä replikointia, kyseessä on itsenäinen instanssi, eikä se ole vaarassa.
• Sharded-klustereissa tee tarkistus jokaiselle shard-jäsenelle ja jokaiselle config-palvelimen jäsenelle.
• Jos jäsen on vanhemmalla versiolla kuin sen julkaisusarjan korjattu versio, päivitä se.

Lähteet

• https://nvd.nist.gov/vuln/detail/CVE-2026-118383
• https://jira.mongodb.org/browse/SERVER-138119