MongoDB Serverに認証後の脆弱性、サーバーが停止または任意のコードを実行される恐れ
Summary
MongoDB Serverの時系列コレクションで、書き込み時にバケット文書を検証する処理に解放後使用の脆弱性が見つかりました。バケット文書を直接書き込める権限を持つ認証済みユーザーが悪用でき、サーバーの停止や、条件によっては任意のコードを実行される恐れがあります。影響するのは9.0.7未満、8.3.16未満、8.0.37未満、7.0.48未満の各版で、修正版は9.0.7、8.3.16、8.0.37、7.0.48です。修正版への更新を進めてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
MongoDB Serverの時系列コレクションで、書き込み時にバケット文書を検証する処理に解放後使用の脆弱性が見つかりました。バケット文書を直接書き込める権限を持つ認証済みユーザーが悪用でき、サーバーの停止や、条件によっては任意のコードを実行される恐れがあります。影響するのは9.0.7未満、8.3.16未満、8.0.37未満、7.0.48未満の各版で、修正版は9.0.7、8.3.16、8.0.37、7.0.48です。修正版への更新を進めてください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| MongoDBMongoDB Server |
≥ 9.0.0, < 9.0.7→ 9.0.7 ≥ 8.3.0, < 8.3.16→ 8.3.16 ≥ 8.0.0, < 8.0.37→ 8.0.37 ≥ 7.0.0, < 7.0.48→ 7.0.48 |
9.0.7 8.3.16 8.0.37 7.0.48 |
Original description The description as published by the source.
A use-after-free in the time-series collection component of MongoDB Server can occur when the server validates a time-series bucket document during a write. The condition can be caused by an authenticated user with privileges to write bucket documents directly, and may result in the server terminating unexpectedly or, under certain conditions, arbitrary code execution in the context of the server process.
Source: CVE.org (CVE Program・cvelistV5) NVD
References
- web cna@mongodb.com