MongoDB-replikakészletek: authentikáció előtti use-after-free összeomlást okozhat (CVE-2026-118383)

Mi történt

A MongoDB 2026. november 10-én hozta nyilvánosságra a CVE-2026-118383 azonosítójú hibát, amely a MongoDB Server replikációs összetevőjében előforduló use-after-free probléma. CVSS szerinti besorolása 9.0. A hiba akkor léphet fel, amikor egy újonnan megválasztott replikakészlet-elsődleges befejezi a lemaradás behozását. A hibát hitelesítést nem igénylő kérések is kiválthatják. Az eredmény az, hogy a szerverfolyamat váratlanul leállhat. Bizonyos feltételek mellett arbitrárius kódvégrehajtásra is sor kerülhet a szerverfolyamat kontextusában.

A The Hacker News beszámolója szerint a kockázatot az jelenti, hogy egy replikakészlet-tag lemaradt, majd elsődlegessé válik, például átállás során. A MongoDB kijavításokat adott ki. A sebezhetőség nem szerepel a CISA ismert, aktívan kihasznált sebezhetőségek katalógusában, és egyik forrás sem számol be támadásokról.

Kiket érint

• Érintett: replikakészlet tagjaként futó mongod folyamatok. Ide tartoznak a shardelt fürtök shard-replikakészletei és konfigurációs szerver replikakészletei.
• Nem érintett: replikakészlet részét nem képező, önálló mongod példányok.

A hiba hitelesítés előtt is kiváltható, ezért a hitelesítés bekapcsolása önmagában nem nyújt védelmet. A legnagyobb kockázatnak azok a replikakészlet-tagok vannak kitéve, amelyeket megbízhatatlan hálózatokról vagy sok alkalmazásszerverről el lehet érni.

Teendők most

1. Sorolja fel a replikakészlet-tagjait. Minden MongoDB-szerveren ellenőrizze, hogy a mongod replikakészlet részeként fut-e (lásd a következő szakaszt). Az önálló példányoknak ehhez a CVE-hez nincs sürgős teendőjük.
2. Keresse meg a kiadási sorozatához tartozó javított verziót. A SERVER-138119 MongoDB-jegy (lent hivatkozva) a javítás része, és a 9.0.7, 8.3.16, 8.0.37, 7.0.48, 6.0.30, 5.0.35 és 4.4.32 javított verziókat sorolja fel. A kiadási sorozatának megfelelő verzió megerősítéséhez vesse össze a SERVER-138175 jeggyel.
3. Készítsen biztonsági mentést a konfigurációról. Mentse el a /etc/mongod.conf fájlt (vagy az Ön megfelelőjét), és győződjön meg arról, hogy van friss adatmentés.
4. Egyszerre egy tagot frissítsen. Kezdje a másodlagos csomópontokkal. Frissítse a csomagot (például apt install mongodb-org vagy dnf update mongodb-org), indítsa újra a mongod szolgáltatást, és várja meg, amíg a tag újra SECONDARY állapotban jelenik meg a rs.status() kimenetében. Ezután futtassa a rs.stepDown() parancsot az elsődlegesen, és azt frissítse utoljára. Shardelt fürtök esetén frissítse a konfigurációs szerver replikakészletet és minden shard replikakészletet.
5. Korlátozza a hálózati hozzáférést. A 27017-es portot (vagy az egyéni portot) csak az alkalmazásszerverek és a többi fürttag érhesse el. Ezt a tűzfallal vagy a bindIp beállítással érvényesítse, most és a frissítés után is.
6. Figyelje az összeomlásokat. Ellenőrizze a mongod naplókat és a szolgáltatásfigyelést váratlan újraindulások szempontjából, különösen választások és átállások környékén.

Hogyan ellenőrizheti, hogy érintett-e

• A verziót a mongod --version paranccsal ellenőrizheti, vagy a mongosh-ban a db.version() paranccsal.
• A replikakészlet-tagságot mongosh-ban a db.hello().setName paranccsal ellenőrizheti. Ha ad vissza nevet, a példány replikakészlet-tag, és frissítésig érintett. Ha nincs visszatérési érték, és a rs.status() jelzi, hogy a példány replikáció nélkül fut, akkor önálló példányról van szó, amely nem érintett.
• Shardelt fürtök esetén futtassa az ellenőrzést minden shard-tagon és minden konfigurációs szerver-tagon.
• Ha egy tag régebbi verzión fut, mint a kiadási sorozatának javított verziója, frissítse.

Források

• https://nvd.nist.gov/vuln/detail/CVE-2026-118383
• https://jira.mongodb.org/browse/SERVER-138119