MongoDB Serverに認証後の脆弱性、サーバーが停止または任意のコードを実行される恐れ
概要
MongoDB Serverの時系列コレクションで、書き込み時にバケット文書を検証する処理に解放後使用の脆弱性が見つかりました。バケット文書を直接書き込める権限を持つ認証済みユーザーが悪用でき、サーバーの停止や、条件によっては任意のコードを実行される恐れがあります。影響するのは9.0.7未満、8.3.16未満、8.0.37未満、7.0.48未満の各版で、修正版は9.0.7、8.3.16、8.0.37、7.0.48です。修正版への更新を進めてください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
MongoDB Serverの時系列コレクションで、書き込み時にバケット文書を検証する処理に解放後使用の脆弱性が見つかりました。バケット文書を直接書き込める権限を持つ認証済みユーザーが悪用でき、サーバーの停止や、条件によっては任意のコードを実行される恐れがあります。影響するのは9.0.7未満、8.3.16未満、8.0.37未満、7.0.48未満の各版で、修正版は9.0.7、8.3.16、8.0.37、7.0.48です。修正版への更新を進めてください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| MongoDBMongoDB Server |
9.0.0 以上 9.0.7 未満→ 9.0.7 8.3.0 以上 8.3.16 未満→ 8.3.16 8.0.0 以上 8.0.37 未満→ 8.0.37 7.0.0 以上 7.0.48 未満→ 7.0.48 |
9.0.7 8.3.16 8.0.37 7.0.48 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A use-after-free in the time-series collection component of MongoDB Server can occur when the server validates a time-series bucket document during a write. The condition can be caused by an authenticated user with privileges to write bucket documents directly, and may result in the server terminating unexpectedly or, under certain conditions, arbitrary code execution in the context of the server process.
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web cna@mongodb.com