中 7.5

MongoDB Serverに権限昇格の脆弱性、内部の特権を取得されるおそれ

CVE-2026-120807 SecPulse初出 5:06

概要

MongoDB ServerのX.509クラスター認証の検査に不備があり、クラスターメンバーの証明書を持つ者が内部の特権を得るおそれがあります。影響するのは9.0.0〜9.0.6、8.3.0〜8.3.15、8.0.0〜8.0.36、7.0.0〜7.0.47で、9.0.7、8.3.16、8.0.37、7.0.48に修正版が公開されています。非標準の設定を使っている環境では、早めに修正版への更新を検討してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
MongoDB	MongoDBMongoDB Server	9.0.0 以上 9.0.7 未満→ 9.0.7 8.3.0 以上 8.3.16 未満→ 8.3.16 8.0.0 以上 8.0.37 未満→ 8.0.37 7.0.0 以上 7.0.48 未満→ 7.0.48	9.0.7 8.3.16 8.0.37 7.0.48

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

A flaw in MongoDB’s X.509 cluster-membership authentication guard could allow a holder of a cluster-member certificate to gain elevated internal privileges when a specific deployment configuration is in use. An internal check, which prevents a certificate recognized as a cluster member from also being treated as a regular user, does not correctly distinguish between certain error conditions encountered during user lookup. Under certain timing conditions, this can cause the check to be bypassed, granting the connection full internal system privileges. Triggering this issue requires possession of a valid cluster-member TLS certificate, non-default X.509 cluster authentication configuration, and specific conditions during the user cache lookup process.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory