CVE-2026-120815 MongoDB Server localhost exception 授權檢查不當導致授權繞過

三句重點

成因

啟用 authorization 時，localhost exception 的授權檢查不當（CWE-863）。

影響

可取得管理權限，影響資料機密性、完整性與服務可用性。

條件

需為未驗證但具本機（localhost）存取能力的一方，無須使用者互動。

版本比對

修補方式

升級至 9.0.7 以上版本。

攻擊思路

1. 取得本機存取：攻擊者需先能從 mongod 所在主機本機（loopback）連線，CVSS 向量為 AV:L、PR:N、UI:N。 來源
2. 繞過授權檢查：在已啟用 authorization 的實例上，localhost exception 的授權檢查有缺陷，未驗證連線可能取得管理權限；具體觸發條件廠商尚未公開。 來源
3. 管理權限濫用：取得管理權限後，可能讀取資料與憑證、修改資料或造成服務中斷。 來源

偵測提示

• mongod 稽核日誌（auditLog）：檢查來源為 loopback 且未經驗證即執行管理類操作，例如建立使用者、授予角色、變更設定。
• mongod 版本與設定：盤點 9.0 分支版本是否低於 9.0.7，並確認 security.authorization 是否啟用。
• 主機本機帳號與程序：檢查哪些本機帳號、容器或 sidecar 程序能連到 mongod 的 loopback 連接埠，留意非預期的本機連線。
• 資料庫使用者與角色清單：比對是否出現非預期的管理帳號或角色變更。
• 網路偵測（Snort 等）：攻擊流量走 loopback，網路型感測器通常看不到，且無法僅憑已知資料區分攻擊與正常本機管理，不宜單靠網路規則。

暫時緩解

9.0 分支請升級至 9.0.7 或更新版本；其他分支的修補版本請參考 SERVER-134872 與 MongoDB 官方安全公告。官方未提供 workaround。一般性建議（非官方方案）：限制可存取 mongod 主機的本機帳號與程序，並盡快規劃升級。

通報團隊

複製成可直接貼到 Slack 或 Email 的通報文字。

🚨【資安漏洞通報】CVE-2026-120815
等級：High (8.4)
受影響套件：MongoDB Server 9.0 分支：9.0.0 至 9.0.7 之前；其他分支請以 CVE 紀錄與廠商公告為準
漏洞簡述：啟用 authorization 時，localhost exception 的授權檢查不當（CWE-863）。；可取得管理權限，影響資料機密性、完整性與服務可用性。；需為未驗證但具本機（localhost）存取能力的一方，無須使用者互動。
建議措施：升級至 9.0.7 以上版本
詳細連結：https://cve.eacc.online/cve/CVE-2026-120815

參考連結

• https://cveawg.mitre.org/api/cve/CVE-2026-120815
• https://jira.mongodb.org/browse/SERVER-134872

同套件的其他 CVE

• CVE-2026-120824 MongoDB Server time-series bucket 驗證存在 Use-After-Free