MongoDB'de kimlik doğrulaması gerektirmeyen kritik bir açık: iki istekle replica set üyesi çöktürülebiliyor

CVE-2026-118383 kodlu, CVSS 4.0'da 9.5 puanla derecelendirilen use-after-free açığı, kimlik doğrulaması olmadan gönderilen iki ping komutuyla veritabanı sunucusunu çökertebiliyor; düzeltilmiş sürümler yayımlandı.

MongoDB, CVE-2026-118383 kodlu ve CVSS 4.0 ölçeğinde 9.5 puanla derecelendirilen bir use-after-free açığına karşı düzeltilmiş sürümleri yayımladı. Açık, kimlik doğrulaması yapmamış bir istemcinin bir replica set üyesini çökertmesine olanak tanıyor. Saldırganın yalnızca readConcern.afterOpTime içeren iki ping komutu göndermesi yeterli; bu komutlar, yeniden başlatma, rollback ya da stepdown gerçekleşene kadar kalıcı kalan bekleyen işlemler bırakıyor.

Çökme, geride kalmış bu üye daha sonra bir seçimi kazandığında gerçekleşiyor. Yetişme temizliği iki kez çalıştığı için zaten serbest bırakılmış belleğe tekrar dokunuluyor ve yeni primary yazma işlemlerini kabul etmeden çöküyor. Datadog'un 8.0.34 sürümünde yaptığı laboratuvar tekrarında segfault doğrulandı ve küme primary'siz kaldı; 8.0.37 sürümü ise aynı istekleri yetkisiz olarak reddetti.

Atlas kümeleri bakım sırasında otomatik olarak düzeltilmiş sürümlere geçiriliyor; bakımı erteleyen müşterilerin en kısa sürede güncelleme yapması gerekiyor. Kendi sunucularını yöneten kullanıcıların ise her üyeyi güncelleyip sürümleri tek tek doğrulaması gerekiyor. 8.2 dalı 31 Temmuz'da destek ömrünü tamamladı ve artık güvenlik düzeltmesi almıyor; bu sürümü kullananların düzeltme beklemek yerine geçiş planlaması yapması gerekiyor. Araştırmacılar, bir üye güncellenene kadar veritabanına ağ erişimini yalnızca ihtiyaç duyan sistemlerle sınırlamayı öneriyor; ancak bu önlem açığı kapatmıyor.