Angreifer können MongoDB abstürzen lassen und Daten manipulieren

Summary

Admins der Datenbanklösung MongoDB sollten ihre Instanzen aus Sicherheitsgründen zeitnah auf den aktuellen Stand bringen. Geschieht das nicht, können Angreifer an 26 Softwareschwachstellen ansetzen. Sind Attacken erfolgreich, können Angreifer unter anderem unbefugt auf Daten zugreifen oder Dienste abstürzen lassen. Dagegen abgesicherte Ausgaben stehen ab sofort zum Download bereit. Weiterlesen nach der Anzeige Verschiedene Gefahren Der Großteil der Lücken ist mit dem Bedrohungsgrad „hoch“ eingestuft. So können etwa authentifizierte Angreifer lesend und schreiben auf Datenbanken zugreifen (CVE-2026-13059), Verbindungsoptionen überschreiben (CVE-2026-14881) oder die CPU-Last in die Höhe treiben, sodass Instanzen abstürzen (CVE-2026-13069). Eine Lücke gilt als „kritisch“ (CVE-2026-13072). Damit Angreifer an dieser Schwachstelle ansetzen können, muss eine Standalone-Instanz aber im Compute Mode laufen. Standardmäßig ist das nicht der Fall. Außerdem muss ein Angreifer in einer Position sein, um manipulierte BSON-Daten von extern in eine Aggregation Pipeline einspeisen zu können. Ist das alles gegeben, kommt es zu Speicherfehlern. Updates jetzt installieren Die Entwickler geben an, die Sicherheitsprobleme in den Ausgaben 8.2.12, 8.0.28, 7.0.39, 8.3.7, 9.0.0-rc1 gelöst zu haben. Die Lücken wurden teilweise bereits im Mai dieses Jahres gemeldet. Den Warnmeldungen zufolge wurden sie aber erst kürzlich geschlossen. Weiterführende Informationen zu den Sicherheitslücken finden Admins in den verlinkten Warnmeldungen. Liste nach Bedrohungsgrad absteigend sortiert: Weiterlesen nach der Anzeige (des) Dieser Link ist leider nicht mehr gültig. Links zu verschenkten Artikeln werden ungültig, wenn diese älter als 7 Tage sind oder zu oft aufgerufen wurden. Sie benötigen ein heise+ Paket, um diesen Artikel zu lesen. Jetzt eine Woche unverbindlich testen – ohne Verpflichtung!