Angreifer können MongoDB abstürzen lassen und Daten manipulieren

vor 1 Stunde 1

Admins der Datenbanklösung MongoDB sollten ihre Instanzen aus Sicherheitsgründen zeitnah auf den aktuellen Stand bringen. Geschieht das nicht, können Angreifer an 26 Softwareschwachstellen ansetzen. Sind Attacken erfolgreich, können Angreifer unter anderem unbefugt auf Daten zugreifen oder Dienste abstürzen lassen. Dagegen abgesicherte Ausgaben stehen ab sofort zum Download bereit.

Verschiedene Gefahren

Der Großteil der Lücken ist mit dem Bedrohungsgrad „hoch“ eingestuft. So können etwa authentifizierte Angreifer lesend und schreiben auf Datenbanken zugreifen (CVE-2026-13059), Verbindungsoptionen überschreiben (CVE-2026-14881) oder die CPU-Last in die Höhe treiben, sodass Instanzen abstürzen (CVE-2026-13069).

Eine Lücke gilt als „kritisch“ (CVE-2026-13072). Damit Angreifer an dieser Schwachstelle ansetzen können, muss eine Standalone-Instanz aber im Compute Mode laufen. Standardmäßig ist das nicht der Fall. Außerdem muss ein Angreifer in einer Position sein, um manipulierte BSON-Daten von extern in eine Aggregation Pipeline einspeisen zu können. Ist das alles gegeben, kommt es zu Speicherfehlern.

Updates jetzt installieren

Die Entwickler geben an, die Sicherheitsprobleme in den Ausgaben 8.2.12, 8.0.28, 7.0.39, 8.3.7, 9.0.0-rc1 gelöst zu haben. Die Lücken wurden teilweise bereits im Mai dieses Jahres gemeldet. Den Warnmeldungen zufolge wurden sie aber erst kürzlich geschlossen.

Weiterführende Informationen zu den Sicherheitslücken finden Admins in den verlinkten Warnmeldungen. Liste nach Bedrohungsgrad absteigend sortiert: