MongoDB'de kritik replikasyon açığı CVE-2026-118383: kimlik doğrulama gerektirmeyen isteklerle çökme ve kod çalıştırma riski
MongoDB Server'ın replikasyon bileşenindeki use-after-free açığı, replica set üyelerinde sunucunun çökmesine ve belirli koşullarda kod çalıştırılmasına yol açabiliyor. Düzeltmeler 30 Ekim tarihli 4.4'ten 9.0'a kadar tüm dallarda yayımlandı.
CVE-2026-118383
MongoDB Server'ın replikasyon bileşeninde CVE-2026-118383 kimlikli kritik bir use-after-free açığı kamuya açıklandı. NVD kaydına göre sorun, yeni seçilen bir replica set primary'si catch-up aşamasını tamamladığında ortaya çıkıyor ve kimlik doğrulama gerektirmeyen isteklerle tetiklenebiliyor. Sonuç sunucunun beklenmedik biçimde kapanması; belirli koşullarda ise sunucu süreci bağlamında keyfi kod çalıştırma. CVSS 3.1 puanı 9.0; saldırı karmaşıklığı yüksek olarak değerlendirildi.
Etki alanı replica set üyeleriyle sınırlı: sharded cluster'lardaki shard ve config server replica set üyeleri de etkileniyor, tek başına çalışan (standalone) mongod örnekleri etkilenmiyor. Açık 10 Kasım'da NVD ve GitHub Advisory Database'e girdi; istismar raporu yok ve CISA KEV kataloğunda değil. MongoDB'nin Jira kayıtlarına göre düzeltmeler 30 Ekim'de çıkan sürümlerde yer alıyor. İlgili iki kayıttan biri catch-up sürecindeki use-after-free'yi (SERVER-138175), diğeri afterOpTime read concern kullanımını yalnızca sistem kullanıcılarıyla sınırlamayı (SERVER-138119) kapsıyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| MongoDB Server 9.0 | Düzeltme öncesi 9.0 sürümleri | 9.0.7 |
| MongoDB Server 8.3 | Düzeltme öncesi 8.3 sürümleri | 8.3.16 |
| MongoDB Server 8.0 | Düzeltme öncesi 8.0 sürümleri | 8.0.37 |
| MongoDB Server 7.0 | Düzeltme öncesi 7.0 sürümleri | 7.0.48 |
| MongoDB Server 6.0 | Düzeltme öncesi 6.0 sürümleri | 6.0.30 |
| MongoDB Server 5.0 | Düzeltme öncesi 5.0 sürümleri | 5.0.35 |
| MongoDB Server 4.4 | Düzeltme öncesi 4.4 sürümleri | 4.4.32 |
Düzeltilmiş sürümler MongoDB Jira kayıtlarındaki "fix version" alanından alındı. Her dalda hangi alt sürümün ilk etkilenen olduğu NVD kaydında belirtilmiyor; kesin aralık için MongoDB'nin güvenlik bildirimlerini takip edin.
Beni etkiliyor mu?
İki soru belirleyici: sunucu sürümünüz düzeltme öncesi mi, ve örnek bir replica set ya da sharded cluster üyesi mi? Aşağıdaki komutlar yalnızca okuma yapar:
rpm -q mongodb-org-server
dpkg -l | grep mongodb-org-server
systemctl status mongod
grep -A2 replication /etc/mongod.confYapılandırma dosyasında replSetName tanımı yoksa ve örnek bir sharded cluster parçası değilse standalone çalışıyorsunuzdur; bu açıktan etkilenmezsiniz. mongosh oturumunda db.version() ve rs.status() çıktıları da sürümü ve replica set üyeliğini gösterir. Yönetilen bir MongoDB hizmeti kullanıyorsanız sürüm bilgisini hizmet panelinden kontrol edin; yükseltme takvimi sağlayıcıya bağlıdır.
Ne yapılmalı?
- Replica set ve sharded cluster üyelerini kendi dallarının düzeltilmiş sürümüne yükseltin (9.0.7, 8.3.16, 8.0.37, 7.0.48, 6.0.30, 5.0.35, 4.4.32). Rolling upgrade ile önce secondary'leri, en son primary'yi güncelleyin.
- Açık kimlik doğrulama gerektirmeyen isteklerle tetiklenebildiği için MongoDB portlarının (varsayılan 27017) internete açık olmadığını doğrulayın; erişimi yalnızca uygulama sunucularına ve yönetim ağına sınırlayın.
- Upgrade'e kadar beklenmedik primary seçimlerini, mongod çökmelerini ve yeniden başlamalarını log ve izleme sisteminizde alarm olarak takip edin.
- Desteği bitmiş dallarda (4.4, 5.0 gibi) çalışan sistemler için bu yamayı uygulayın ve desteklenen bir dala geçişi change planına alın.
