MongoDB Serverの脆弱性、Windows版のKerberos認証が使えなくなるおそれ
Summary
Windows Enterprise版のMongoDB Serverで、Kerberos認証の処理中にシステムリソースが解放されない脆弱性が見つかりました。認証要求を繰り返し送られると、リソースが枯渇してKerberos認証がすべて失敗するおそれがあり、回復にはサーバーの再起動が必要です。影響するのは9.0.0〜9.0.6、8.3.0〜8.3.15、8.0.0〜8.0.36、7.0.0〜7.0.47で、9.0.7、8.3.16、8.0.37、7.0.48に修正版が公開されています。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Windows Enterprise版のMongoDB Serverで、Kerberos認証の処理中にシステムリソースが解放されない脆弱性が見つかりました。認証要求を繰り返し送られると、リソースが枯渇してKerberos認証がすべて失敗するおそれがあり、回復にはサーバーの再起動が必要です。影響するのは9.0.0〜9.0.6、8.3.0〜8.3.15、8.0.0〜8.0.36、7.0.0〜7.0.47で、9.0.7、8.3.16、8.0.37、7.0.48に修正版が公開されています。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| MongoDBMongoDB Server |
≥ 9.0.0, < 9.0.7→ 9.0.7 ≥ 8.3.0, < 8.3.16→ 8.3.16 ≥ 8.0.0, < 8.0.37→ 8.0.37 ≥ 7.0.0, < 7.0.48→ 7.0.48 |
9.0.7 8.3.16 8.0.37 7.0.48 |
Original description The description as published by the source.
A flaw exists in the server-side SSPI Kerberos authentication handler on Windows Enterprise builds of MongoDB. When processing certain authentication requests, the server fails to properly release an underlying system resource due to an internal tracking error. An unauthenticated user can trigger this by repeatedly sending authentication requests using the Kerberos mechanism, eventually exhausting available resources and causing all subsequent Kerberos authentication attempts to fail. Server restart is required to recover.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web jira.mongodb.org
- web nvd.nist.gov
- web github.com