Was ist das Problem
MongoDB Server enthält eine Schwachstelle durch unsachgemäße Handhabung von Längenparameter-Inkonsistenzen in Zlib-komprimierten Protokoll-Headern. Dieser Fehler kann es einem nicht authentifizierten Client ermöglichen, nicht initialisierten Heap-Speicher zu lesen.
Wer ist betroffen
Dieses Problem betrifft MongoDB-Versionen von 3.6.0 bis vor 4.4.30, 5.0.0 bis vor 5.0.32, 6.0.0 bis vor 6.0.27, 7.0.0 bis vor 7.0.28, 8.0.0 bis vor 8.0.17 und 8.2.0 bis vor 8.2.3.
Was zu tun ist
Aktualisieren Sie MongoDB je nach Ihrem Release-Zweig auf die Version 4.4.30, 5.0.32, 6.0.27, 7.0.28, 8.0.17 oder 8.2.3. Alternativ können Sie die Abhilfemaßnahmen des Herstellers anwenden.
Originalbeschreibung
Mismatched length fields in Zlib compressed protocol headers may allow a read of uninitialized heap memory by an unauthenticated client. This issue affects all MongoDB Server v7.0 prior to 7.0.28 versions, MongoDB Server v8.0 versions prior to 8.0.17, MongoDB Server v8.2 versions prior to 8.2.3, MongoDB Server v6.0 versions prior to 6.0.27, MongoDB Server v5.0 versions prior to 5.0.32, MongoDB Server v4.4 versions prior to 4.4.30, MongoDB Server v4.2 versions greater than or equal to 4.2.0, MongoDB Server v4.0 versions greater than or equal to 4.0.0, and MongoDB Server v3.6 versions greater than or equal to 3.6.0.
Bekanntermaßen ausgenutzt (CISA KEV)
- Zu KEV hinzugefügt
- 2025-12-29
- Behebungsfrist (US-Bundesbehörden)
- 2026-01-19
- Einsatz durch Ransomware
- Unknown
- Erforderliche Maßnahme
- Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Betroffene Software
- MongoDB ≥ 7.0.0 < 7.0.28≥ 5.0.0 < 5.0.32≥ 8.2.0 < 8.2.3≥ 3.6.0 < 4.4.30≥ 6.0.0 < 6.0.27≥ 8.0.0 < 8.0.17 Behoben in: 7.0.28, 5.0.32, 8.2.3, 4.4.30 exakte Übereinstimmung
Details
- Veröffentlicht
- 2025-12-19
- Zuletzt geändert
- 2026-02-27
- CVSS-Vektor
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N- CWE
- CWE-130
- EPSS (Ausnutzungswahrscheinlichkeit in 30 Tagen)
- 83.22% (Perzentil 100)
Referenzen
Verfolgen Sie diese Versionen auf Ihren eigenen Servern
InfraGuard erfasst die installierten Softwareversionen auf jedem Server und markiert diejenigen mit bekannten Schwachstellen. Self-Hosted – nichts verlässt Ihr Netzwerk.
Dieses Produkt verwendet Daten der NVD-API, ist jedoch nicht von der NVD empfohlen oder zertifiziert. CVE® ist eine eingetragene Marke von The MITRE Corporation; CVE-Datensätze werden gemäß den Nutzungsbedingungen des CVE Program verwendet.