MongoDB replica sets: kimlik doğrulaması gerektirmeyen use-after-free açığı sunucuları çökertebilir (CVE-2026-118383)

Ne oldu

10 Kasım 2026'da MongoDB, MongoDB Server'ın replikasyon bileşenindeki bir use-after-free açığı olan CVE-2026-118383'ü duyurdu. CVSS puanı 9.0 olarak derecelendirilmiştir. Kusur, yeni seçilmiş bir replica set birincil sunucusu senkronizasyonu tamamladığında ortaya çıkabilir. Kimlik doğrulaması gerektirmeyen istekler bunu tetikleyebilir. Sonuç olarak sunucu süreci beklenmedik şekilde durabilir. Belirli koşullar altında ise sunucu süreci bağlamında keyfi kod çalıştırılmasına da yol açabilir.

The Hacker News'in aktardığına göre risk, geride kalmış ve ardından birincil olan bir replica set üyesine aittir; örneğin bir failover sırasında. MongoDB düzeltmeleri yayımlamıştır. Bu açık, CISA'nın bilinen istismar edilen açıklar kataloğunda yer almamaktadır ve hiçbir kaynak saldırı bildirmemektedir.

Kimler etkilenir

• Etkilenen: Replica set üyesi olarak çalışan mongod süreçleri. Buna sharded kümelerin shard replica set'leri ve config server replica set'leri dahildir.
• Etkilenmeyen: Bir replica set'in parçası olmayan bağımsız mongod örnekleri.

Kusur kimlik doğrulamasından önce tetiklenebildiğinden, kimlik doğrulamasını açmak sizi korumaz. En yüksek risk, güvenilmeyen ağlardan veya çok sayıda uygulama sunucusundan erişilebilen replica set üyelerindedir.

Şimdi yapılması gerekenler

1. Replica set üyelerinizi listeleyin. Her MongoDB sunucusunda, mongod sürecinin bir replica set parçası olarak çalışıp çalışmadığını kontrol edin (bir sonraki bölüme bakın). Bağımsız örnekler bu CVE için acil bir işlem gerektirmez.
2. Sürüm serinizin düzeltilmiş sürümünü bulun. Aşağıda bağlantısı verilen MongoDB kaydı SERVER-138119, düzeltmenin bir parçasıdır. Düzeltme sürümleri olarak 9.0.7, 8.3.16, 8.0.37, 7.0.48, 6.0.30, 5.0.35 ve 4.4.32 sürümlerini listeler. Serinizin sürümünü doğrulamak için bunu SERVER-138175 ile karşılaştırın.
3. Yapılandırmanızı yedekleyin. /etc/mongod.conf dosyasını (veya eşdeğerini) kaydedin ve verilerinizin güncel bir yedeğinin bulunduğunu doğrulayın.
4. Üyeleri tek tek güncelleyin. Önce secondary üyelerle başlayın. Paketi güncelleyin (örneğin apt install mongodb-org veya dnf update mongodb-org), mongod'u yeniden başlatın ve rs.status() çıktısında üyenin yeniden SECONDARY göründüğünü bekleyin. Ardından birincil sunucuda rs.stepDown() çalıştırın ve onu en son güncelleyin. Sharded kümelerde, config server replica set'ini ve her shard replica set'ini güncelleyin.
5. Ağ erişimini sınırlayın. 27017 portu (veya özel port) yalnızca uygulama sunucularından ve diğer küme üyelerinden erişilebilir olmalıdır. Bunu hem şimdi hem güncellemeden sonra güvenlik duvarınız veya bindIp ile zorunlu kılın.
6. Çökmeleri izleyin. Özellikle seçimler ve failover'lar sırasında, mongod günlüklerini ve servis izleme sisteminizi beklenmedik yeniden başlatmalar açısından kontrol edin.

Etkilenip etkilenmediğinizi nasıl kontrol edersiniz

• Sürümü mongod --version ile veya mongosh içinde db.version() ile kontrol edin.
• Replica set üyeliğini mongosh içinde db.hello().setName ile kontrol edin. Bir ad döndürülürse, örnek bir replica set üyesidir ve güncellenene kadar etkilenir. Hiçbir şey döndürülmez ve rs.status() örneğin replikasyonla çalışmadığını bildirirse, bağımsız bir örnektir ve etkilenmez.
• Sharded kümeler için kontrolü her shard üyesinde ve her config server üyesinde çalıştırın.
• Bir üye, bulunduğu sürüm serisinin düzeltilmiş sürümünden eski bir sürümdeyse, güncelleyin.

Kaynaklar

• https://nvd.nist.gov/vuln/detail/CVE-2026-118383
• https://jira.mongodb.org/browse/SERVER-138119