CVE 繁中資安情報網

回最新 CVE 列表

CVE-2026-120824 MongoDB Server time-series bucket 驗證存在 Use-After-Free

揭露日期 2026-11-10CVSS 3.1：CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

對象資安IT開發

CWE-416 釋放後使用

未列入 CISA KEV

PoC 狀態未確認

三句重點

成因
驗證 time-series bucket 時，FlatBSON MinMax 處理 object 與 array 混用路徑會 use-after-free。
影響
已認證寫入者可讓 mongod 崩潰，並可能以該作業系統使用者執行任意命令。
條件
需已通過認證，並對該 time-series collection 具 insert 或等價寫入權限。

版本比對

套件❌ 受影響版本✅ 安全版本
MongoDB Server9.0.0 至小於 9.0.7；8.3.0 至小於 8.3.16；8.0.0 至小於 8.0.37；7.0.0 至小於 7.0.48（JIRA 較窄；8.2 請改升 8.3.16 或 9.0.7）>= 9.0.7、8.3.16、8.0.37、7.0.48

修補方式

升級至 9.0.7、8.3.16、8.0.37、7.0.48 以上版本。

攻擊思路

  1. 取得認證與寫入權限：攻擊者需已通過認證，並對目標 time-series collection 具 insert 或等價寫入權限。 來源
  2. 寫入 time-series bucket：對 time-series collection 送出 insert 或等價寫入，文件為 bucket 形狀並進入嚴格 bucket 驗證；此驗證早於 mixed-schema 拒絕。 來源
  3. 觸發 MinMax Use-After-Free：驗證將各 measurement 欄位 merge 進 FlatBSON MinMax；同一欄位路徑在不同 measurement 分別為 object 與 array 時發生 use-after-free。 來源
  4. 造成拒絕服務或命令執行：單次寫入即可讓 mongod 以 segmentation fault 終止；外部回報者另展示可升級為以 mongod 作業系統使用者執行任意命令。 來源

偵測提示

暫時緩解

請升級 MongoDB Server 至 9.0.7、8.3.16、8.0.37 或 7.0.48（或同系列更新版本）。部分架構 9.0.7 無 binary，發行說明改指向 9.0.8。Atlas 叢集可於維護視窗自動升級。可收回不可信主體對 time-series 的寫入權限、避免將 mongod 暴露給不可信網路、停用或不建立 time-series collection，但不能取代升級。

通報團隊

複製成可直接貼到 Slack 或 Email 的通報文字。

預覽通報內容
🚨【資安漏洞通報】CVE-2026-120824
等級：High (8.8)
受影響套件：MongoDB Server 9.0.0 至小於 9.0.7；8.3.0 至小於 8.3.16；8.0.0 至小於 8.0.37；7.0.0 至小於 7.0.48（JIRA 較窄；8.2 請改升 8.3.16 或 9.0.7）
漏洞簡述：驗證 time-series bucket 時，FlatBSON MinMax 處理 object 與 array 混用路徑會 use-after-free。；已認證寫入者可讓 mongod 崩潰，並可能以該作業系統使用者執行任意命令。；需已通過認證，並對該 time-series collection 具 insert 或等價寫入權限。
建議措施：升級至 9.0.7、8.3.16、8.0.37、7.0.48 以上版本
詳細連結：https://cve.eacc.online/cve/CVE-2026-120824

參考連結

同套件的其他 CVE