Podatności MongoDB Server

Utworzenie indeksu '2dsphere_bucket' na kolekcji niebędącej kolekcją szeregów czasowych zakończy się sukcesem, ale każda późniejsza próba wstawienia dokumentu, która wyzwala aktualizację tego indeksu, spowoduje awarię serwera. Podobny problem występuje przy tworzeniu indeksów 'queryable_encrypted_range'. Problem dotyczy MongoDB Server w wersjach 7.0 przed 7.0.32, 8.0 przed 8.0.21 i 8.2 przed 8.2.6.

Podatność CVE-2026-8336 pozwala uwierzytelnionemu użytkownikowi na spowodowanie awarii serwera mongod poprzez niewłaściwe użycie funkcji JavaScript na serwerze. Problem występuje w wersjach MongoDB Server v8.2 przed 8.2.9 oraz v8.3 przed 8.3.2.

Uwierzytelniony użytkownik z uprawnieniami do agregacji może użyć gęsto wypełnionej maski znaków i dużego ciągu wejściowego w operatorach agregacji MongoDB $trim, $ltrim i $rtrim, aby na dłuższy czas obciążyć CPU do 100%. Problem dotyczy MongoDB Server v7.0 przed 7.0.34, v8.0 przed 8.0.23, v8.2 przed 8.2.9 oraz v8.3 przed 8.3.2.

W komponencie analizy zapytań Field-Level Encryption (FLE) MongoDB występuje podatność use-after-free, dotykająca klientów korzystających z mongocryptd i crypt_shared. Wykorzystanie wymaga kontroli nad strukturą zapytania FLE klienta.

Gdy w kolekcji MongoDB włączona jest walidacja schematu, a operacja aktualizacji lub wstawienia narusza ten schemat, generowany lokalny komunikat dziennika serwera może nie mieć wszystkich danych użytkownika zredagowanych. Problem dotyczy MongoDB Server w wersjach 7.0 przed 7.0.34, 8.0 przed 8.0.23, 8.2 przed 8.2.9 oraz 8.3 przed 8.3.2.

Uwierzytelniony użytkownik może spowodować nadmierne zużycie pamięci poprzez przetwarzanie AST wyrażeń dopasowania bitowego operatorów $bitsAllSet, $bitsAnySet, $bitsAllClear i $bitsAnyClear. Prowadzi to do presji na pamięć i może skutkować utratą dostępności przez OOM. Problem dotyczy MongoDB Server v7.0 przed 7.0.34, v8.0 przed 8.0.23, v8.2 przed 8.2.9 oraz v8.3 przed 8.3.2.

W MongoDB Server występuje problem w implementacji kolekcji szeregów czasowych, który pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zapisu w bazie danych na wywołanie zapisu pamięci poza dozwolonym zakresem w procesie mongod. Problem wynika z niespójności w wewnętrznym mapowaniu nazw pól na indeksy w katalogu kubełków szeregów czasowych.

Uwierzytelniony użytkownik może spowodować awarię mongod, uruchamiając $rankFusion lub $scoreFusion z pustym pipeline na widoku. Serwer odczytuje pierwszy element tablicy pipeline bez sprawdzenia, czy nie jest pusta, co prowadzi do dereferencji wskaźnika null i awarii.

Obliczanie sumy kontrolnej MD5 zniekształconego obiektu BSON w określonych warunkach może spowodować utratę dostępności serwera MongoDB. Podatność dotyczy wszystkich wersji MongoDB Server 8.2, 8.1, 8.0 przed 8.0.21 oraz 7.0 przed 7.0.32.

MongoDB Server ma podatność po uwierzytelnieniu w protokole dwufazowego zatwierdzania transakcji między fragmentami, co może prowadzić do logicznych niespójności danych w określonych warunkach. Może to spowodować błędną interpretację transakcji jako zatwierdzonej, prowadząc do niespójnego stanu na fragmentach, co wpływa na integralność i dostępność.

MongoDB Server może doświadczyć awarii niezmiennika podczas operacji wsadowego usuwania dokumentów. Problem pojawia się, gdy serwer błędnie zakłada obecność wielu dokumentów w partii wyłącznie na podstawie rozmiaru dokumentu przekraczającego BSONObjMaxSize. Dotyczy wersji 7.0 przed 7.0.26, 8.0 przed 8.0.13 i 8.1 przed 8.1.2.

Użytkownik z ograniczonym zestawem uprawnień w klastrze MongoDB może zakończyć zapytania wykonywane przez innych użytkowników. Może to spowodować odmowę usługi, uniemożliwiając pomyślne zakończenie części zapytań. Problem dotyczy MongoDB Server w wersjach 7.0 przed 7.0.26 oraz 8.0 przed 8.0.14.

Niespójna walidacja rozmiaru obiektów w logice przetwarzania szeregów czasowych może prowadzić do późniejszego przetwarzania zbyt dużych dokumentów BSON, powodując niepowodzenie asercji i zakończenie procesu. Problem dotyczy MongoDB Server w wersjach v7.0 przed 7.0.26, v8.0 przed 8.0.16 oraz v8.2 przed 8.2.1.

Klienci mogą pomyślnie przeprowadzić uzgadnianie TLS z serwerem MongoDB mimo przedstawienia certyfikatu klienta niezgodnego z wymaganiami Extended Key Usage (EKU). Certyfikat określający extendedKeyUsage, ale bez extendedKeyUsage = clientAuth, może nadal zostać uwierzytelniony jako klient. Problem dotyczy serwerów MongoDB działających w systemach Windows lub Apple. Dodatkowo serwery MongoDB mogą ustanawiać wychodzące połączenia TLS z serwerami przedstawiającymi certyfikaty serwera niezgodne z wymaganiami EKU; certyfikat bez extendedKeyUsage = serverAuth może zostać uwierzytelniony jako serwer. Problem dotyczy serwerów MongoDB w systemie Apple. Podatność dotyczy MongoDB Server v7.0 przed 7.0.26, v8.0 przed 8.0.16 i v8.2 przed 8.2.2.

Uwierzytelniony użytkownik może spowodować awarię serwera MongoDB poprzez wywołanie przepełnienia bufora odczytu. Wystarczy wydać operację DDL podczas wykonywania zapytań w określonych warunkach. Podatność dotyczy MongoDB Server w wersjach 7.0 przed 7.0.25, 8.0 przed 8.0.15 oraz wersji 8.2.0.

MongoDB Server może pozwolić na ponowienie operacji upsert w transakcji, co może naruszyć ograniczenia unikalnych indeksów, prowadząc do błędu niezmienności i awarii serwera podczas zatwierdzania. Problem dotyczy wersji 6.0 przed 6.0.25, 7.0 przed 7.0.22 i 8.0 przed 8.0.12.