MongoDB replika skupovi: pre-auth use-after-free može srušiti poslužitelje (CVE-2026-118383)

Što se dogodilo

Dana 10. studenoga 2026. MongoDB je objavio CVE-2026-118383, use-after-free ranjivost u komponenti replikacije MongoDB Servera. Ocijenjena je ocjenom 9.0 prema CVSS-u. Do propusta može doći kada novoizabrani primarni član replika skupa završi sinkronizaciju. Zahtjevi koji ne zahtijevaju autentifikaciju mogu ga pokrenuti. Posljedica može biti neočekivano zaustavljanje procesa poslužitelja. Pod određenim uvjetima može doći i do izvršavanja proizvoljnog koda u kontekstu procesa poslužitelja.

Prema portalu The Hacker News, rizik se odnosi na član replika skupa koji je zaostao, a zatim postaje primarni, primjerice tijekom prebacivanja uloga. MongoDB je objavio ispravke. Ranjivost nije na popisu CISA-ina kataloga poznato iskorištenih ranjivosti, a nijedan izvor ne izvještava o napadima.

Tko je pogođen

• Pogođeno: mongod procesi koji rade kao članovi replika skupa. To uključuje replika skupove shardova i replika skupove poslužitelja konfiguracije u shardanim klasterima.
• Nije pogođeno: samostalne mongod instance koje nisu dio replika skupa.

Propust se može pokrenuti prije autentifikacije, pa uključivanje autentifikacije ne štiti vas. Najveći je rizik za članove replika skupa kojima mogu pristupiti nepouzdane mreže ili mnogi poslužitelji aplikacija.

Što učiniti sada

1. Popišite članove replika skupa. Na svakom MongoDB poslužitelju provjerite radi li mongod kao dio replika skupa (vidi sljedeći odjeljak). Samostalne instance ne zahtijevaju hitnu radnju zbog ovog CVE-a.
2. Pronađite ispravljenu verziju za vašu seriju izdanja. Tiket MongoDB-a SERVER-138119 (poveznica u nastavku) dio je ispravka. Navodi ispravljene verzije 9.0.7, 8.3.16, 8.0.37, 7.0.48, 6.0.30, 5.0.35 i 4.4.32. Usporedite to sa SERVER-138175 kako biste potvrdili verziju za vašu seriju.
3. Sigurnosno kopirajte konfiguraciju. Spremite /etc/mongod.conf (ili svoju ekvivalentnu datoteku) i provjerite postoji li nedavna sigurnosna kopija podataka.
4. Ažurirajte jedan po jedan član. Počnite sa sekundarnim članovima. Ažurirajte paket (primjerice apt install mongodb-org ili dnf update mongodb-org), ponovno pokrenite mongod i pričekajte da član ponovno prikaže SECONDARY u rs.status(). Zatim pokrenite rs.stepDown() na primarnom članu i ažurirajte ga zadnjeg. U shardanim klasterima ažurirajte replika skup poslužitelja konfiguracije i svaki replika skup shardova.
5. Ograničite mrežni pristup. Port 27017 (ili vaš prilagođeni port) trebao bi biti dostupan samo poslužiteljima aplikacija i ostalim članovima klastera. Upotrijebite vatrozid ili bindIp da to osigurate, i sada i nakon ažuriranja.
6. Pratite rušenja. Provjerite zapise mongod procesa i nadzor usluge zbog neočekivanih ponovnih pokretanja, osobito tijekom izbora i prebacivanja uloga.

Kako provjeriti jeste li pogođeni

• Provjerite verziju naredbom mongod --version ili u mongosh-u naredbom db.version().
• Provjerite članstvo u replika skupu u mongosh-u naredbom db.hello().setName. Ako se vrati naziv, instanca je član replika skupa i pogođena je dok se ne ažurira. Ako se ništa ne vrati i rs.status() javlja da instanca ne radi s replikacijom, riječ je o samostalnoj instanci koja nije pogođena.
• Za shardane klastere pokrenite provjeru na svakom članu shardova i na svakom članu poslužitelja konfiguracije.
• Ako je član na starijoj verziji od ispravljene verzije za svoju seriju izdanja, ažurirajte ga.

Izvori

• https://nvd.nist.gov/vuln/detail/CVE-2026-118383
• https://jira.mongodb.org/browse/SERVER-138119