本文へ移動
Centoculus
ja

セキュリティ警告 · 緊急

MongoDB レプリカセット：認証前のuse-after-freeeによりサーバーがクラッシュする可能性（CVE-2026-118383）

· 読了目安 1 分 · Centoculus Security Team

から既知

影響を受けるもの: シャードクラスターおよび設定サーバーのメンバーを含むMongoDB Serverのレプリカセットメンバー。スタンドアロンのmongodは影響を受けません。

発生した内容

2026年11月10日、MongoDBはMongoDB Serverのレプリケーションコンポーネントにおけるuse-after-freeの脆弱性CVE-2026-118383を公表しました。CVSSの評価は9.0です。この欠陥は、新たに選出されたレプリカセットのプライマリがキャッチアップを完了する際に発生するおそれがあります。認証を必要としないリクエストによって引き起こされる可能性があります。その結果、サーバープロセスが予期せず停止するおそれがあります。特定の条件下では、サーバープロセスのコンテキストで任意のコードが実行される可能性もあります。

The Hacker Newsによると、リスクがあるのは、遅れを取った後にプライマリとなったレプリカセットメンバーで、たとえばフェイルオーバー時に発生します。MongoDBは修正版をリリースしています。この脆弱性はCISAの既知の悪用された脆弱性カタログには掲載されておらず、いずれの情報源も攻撃を報告していません。

影響を受ける対象

  • 影響あり： レプリカセットのメンバーとして動作するmongodプロセス。シャードクラスターのシャードレプリカセットおよび設定サーバーのレプリカセットを含みます。
  • 影響なし： レプリカセットに属さないスタンドアロンのmongodインスタンス。

この欠陥は認証の前に引き起こされる可能性があるため、認証を有効にしても保護されません。信頼されていないネットワークや多数のアプリケーションホストから到達可能なレプリカセットメンバーのリスクが最も高くなります。

今すぐ行うこと

  1. レプリカセットメンバーを一覧化します。 各MongoDBサーバーで、mongodがレプリカセットの一部として動作しているかを確認してください（次のセクションを参照）。スタンドアロンのインスタンスは、このCVEについて緊急の対応は不要です。
  2. リリースシリーズごとの修正版を確認します。 以下にリンクされているMongoDBチケットSERVER-138119は修正の一部です。修正版として9.0.7、8.3.16、8.0.37、7.0.48、6.0.30、5.0.35、4.4.32が記載されています。SERVER-138175と照合し、お使いのシリーズのバージョンを確認してください。
  3. 設定をバックアップします。 /etc/mongod.conf（または同等のファイル）を保存し、最新のデータバックアップが存在することを確認してください。
  4. 1台ずつアップグレードします。 セカンダリから開始します。パッケージをアップグレードし（例：apt install mongodb-org または dnf update mongodb-org）、mongodを再起動して、rs.status() でそのメンバーがSECONDARYと表示されるまで待機します。その後、プライマリで rs.stepDown() を実行し、最後にアップグレードします。シャードクラスターでは、設定サーバーのレプリカセットとすべてのシャードレプリカセットをアップグレードしてください。
  5. ネットワークアクセスを制限します。 ポート27017（またはカスタムポート）には、アプリケーションサーバーと他のクラスターメンバーからのみ到達できるようにしてください。現在および更新後も、ファイアウォールまたはbindIpでこれを強制してください。
  6. クラッシュを監視します。 mongodのログとサービス監視で、特に選出やフェイルオーバーの前後に予期しない再起動がないか確認してください。

影響の有無の確認方法

  • mongod --version でバージョンを確認するか、mongoshで db.version() を実行します。
  • mongoshで db.hello().setName を実行し、レプリカセットのメンバーシップを確認します。名前が返された場合、そのインスタンスはレプリカセットのメンバーであり、更新されるまで影響を受けます。何も返されず、rs.status() がレプリケーションなしで実行されていると報告する場合は、スタンドアロンインスタンスであり、影響を受けません。
  • シャードクラスターでは、すべてのシャードメンバーと設定サーバーのメンバーで確認を実施してください。
  • メンバーが、そのリリースシリーズの修正版より古いバージョンである場合は、アップデートしてください。

出典

その他の出典（2）

データベース をご利用の場合は、こちらも確認してください

関連記事

警告 ·

Citrix NetScaler ADC および Gateway：重大なメモリの脆弱性によりサービス拒否のおそれ（CVE-2026-120868）

Citrix は、サービス拒否につながるおそれのある重大なメモリの脆弱性9件を、NetScaler ADC および NetScaler Gateway で修正しました。CVE-2026-120868 はすべての導入環境に影響します。14.1-73.57、13.1-64.39 またはそれに対応する FIPS ビルドへの更新が必要です。

警告 ·

Node.js：HTTP/2とHTTPSの脆弱性により、クライアントがサーバーをクラッシュさせ、他のユーザーのデータを読み取れる恐れ

Node.jsは16件の脆弱性を修正しました。うち7件は深刻度が高と評価されています。認証のないクライアントがHTTP/2サーバーをクラッシュさせたり、TLS鍵を含む他の接続のメモリを読み取ったりできる恐れがあります。修正済みバージョンは22.23.5、24.22.3、26.13.1です。