Repliky MongoDB: použitie po uvoľnení pamäte pred overením môže zrútiť servery (CVE-2026-118383)

Čo sa stalo

Dňa 10. novembra 2026 spoločnosť MongoDB zverejnila CVE-2026-118383, použitie po uvoľnení pamäte v replikačnom komponente servera MongoDB Server. Má hodnotenie 9.0 podľa CVSS. Chyba sa môže vyskytnúť vtedy, keď novozvolený primárny uzol replikačnej sady dokončí dobiehanie dát. Spustiť ju môžu požiadavky, ktoré nevyžadujú overenie. Výsledkom môže byť neočakávané zastavenie procesu servera. Za určitých podmienok môže viesť aj k vykonaniu ľubovoľného kódu v kontexte procesu servera.

Podľa portálu The Hacker News je riziko pre člena replikačnej sady, ktorý zaostal a potom sa stal primárnym uzlom, napríklad počas prepnutia pri výpadku. MongoDB vydala opravy. Zraniteľnosť nie je uvedená v katalógu známych zneužívaných zraniteľností agentúry CISA a žiadny zo zdrojov neuvádza útoky.

Kto je ohrozený

• Ohrozené: procesy mongod, ktoré bežia ako členovia replikačnej sady. Patria sem replikačné sady shardov a replikačné sady konfiguračných serverov zhlukov s rozdelenými dátami.
• Neohrozené: samostatné inštancie mongod, ktoré nie sú súčasťou replikačnej sady.

Chybu možno spustiť pred overením, preto zapnutie overovania neochráni. Najvyššie riziko je pre členov replikačnej sady, ku ktorým majú prístup nedôveryhodné siete alebo mnoho aplikačných serverov.

Čo urobiť teraz

1. Zoznam členov replikačnej sady. Na každom serveri MongoDB overte, či mongod beží ako súčasť replikačnej sady (pozri ďalšiu sekciu). Samostatné inštancie pre túto zraniteľnosť nevyžadujú okamžitý zásah.
2. Nájdite opravenú verziu pre vašu radu vydaní. Lístok MongoDB SERVER-138119 (odkaz nižšie) je súčasťou opravy. Uvádza opravené verzie 9.0.7, 8.3.16, 8.0.37, 7.0.48, 6.0.30, 5.0.35 a 4.4.32. Porovnajte ich s SERVER-138175 a potvrďte verziu pre svoju radu.
3. Zálohujte konfiguráciu. Uložte /etc/mongod.conf (alebo svoj ekvivalent) a overte, že existuje aktuálna záloha vašich dát.
4. Aktualizujte jeden člen naraz. Začnite so sekundárnymi uzlami. Aktualizujte balík (napríklad apt install mongodb-org alebo dnf update mongodb-org), reštartujte mongod a počkajte, kým člen v rs.status() opäť nezobrazí stav SECONDARY. Potom na primárnom uzle spustite rs.stepDown() a aktualizujte ho ako posledný. V zhlukoch s rozdelenými dátami aktualizujte replikačnú sadu konfiguračných serverov a každú replikačnú sadu shardov.
5. Obmedzte sieťový prístup. Port 27017 (alebo váš vlastný port) by mal byť dostupný iba z aplikačných serverov a ostatných členov zhluku. Na vynútenie použite firewall alebo bindIp, a to teraz aj po aktualizácii.
6. Sledujte pády. Skontrolujte logy mongod a monitorovanie služieb a hľadajte neočakávané reštarty, najmä počas volieb a prepínania.

Ako zistiť, či ste ohrození

• Verziu skontrolujte príkazom mongod --version alebo v mongosh príkazom db.version().
• Členstvo v replikačnej sade skontrolujte v mongosh príkazom db.hello().setName. Ak sa vráti názov, inštancia je členom replikačnej sady a je ohrozená, kým nebude aktualizovaná. Ak sa nevráti nič a rs.status() uvedie, že inštancia nebeží s replikáciou, ide o samostatnú inštanciu, ktorá nie je ohrozená.
• Pri zhlukoch s rozdelenými dátami spustite kontrolu na každom člene každého shardu a každom člene konfiguračného servera.
• Ak je člen na staršej verzii, než je opravená verzia pre jeho radu vydaní, aktualizujte ho.

Zdroje

• https://nvd.nist.gov/vuln/detail/CVE-2026-118383
• https://jira.mongodb.org/browse/SERVER-138119