MongoDB выпустила исправления для драйверов и инструментов миграции

MongoDB исправила несколько уязвимостей в драйверах и служебных утилитах, через которые приложения и администраторы работают с базой. Ошибки в ODBC-драйвере выводят запись за границы буфера в процессе приложения. В утилитах для миграции они открывают чужие учетные данные и позволяют выполнить посторонний скрипт в отчете, открытом в браузере. Затронуты драйверы C, ODBC, JDBC и Rust, Entity Framework, Database Tools и утилиты перехода с BI Connector.

Что меняется после обновления

ODBC-драйвер: запись за границами буфера

Запись за границами буфера в Atlas SQL ODBC Driver описана в CVE-2026-120952. Драйвер переводит значение одного из типов базы в текстовый вид и копирует результат в 16-байтовое поле, которое ODBC-интерфейс отводит под GUID. Текст занимает 48 байт, поэтому 32 байта уходят за пределы цели. Атака требует учетной записи базы с базовыми правами на запись. Такой пользователь влияет на часть данных, попадающих за границу буфера, и портит память приложения. Приложение, скорее всего, завершится с ошибкой. Оценка в записи - 6,0 по CVSS 4.0 и 7,1 по CVSS 3.1.

Похожая ошибка, CVE-2026-120959, связана с пакетной выборкой строк. Драйвер принимает от приложения длину буфера, но не использует ее как реальный шаг между элементами массива строк. Если приложение запрашивает сразу несколько строк определенным способом, значения ложатся мимо буфера. Условие узкое: нужен конкретный способ выборки, выбранный самим приложением. Поэтому оценка ниже - 2,1 по CVSS 4.0 и 3,7 по CVSS 3.1.

Установщик для Windows тоже затронут: в CVE-2025-11575 описана ошибка прав доступа. При установке в нестандартный каталог установщик не выставляет на него разрешения. Настройки по умолчанию оставляют локальному пользователю с низкими привилегиями путь к повышению прав в системе. Затронуты версии с 1.0.0 по 2.0.0 включительно. Оценка - 8,8 по CVSS 4.0 и 7,8 по CVSS 3.1; исправленная версия в записи не названа, в сводном бюллетене порог для драйвера - 3.0.1.

Журналы и отчеты: утечка данных

SQL Schema Builder CLI записывает стартовую конфигурацию в стандартный вывод, а при включенном файловом журнале - в файл на диске. Часть параметров подключения попадала туда без маскирования. Учетные данные оператора оказывались в открытом виде, и прочитать их мог локальный пользователь с доступом к терминалу или каталогу журналов. То же верно для любой системы, куда эти журналы потом собирают. Оценка CVE-2026-19502 - 5,5 по CVSS 3.1, исправление - 1.2.1.

Отдельная группа ошибок касается MongoSQL Transition Readiness Tool, которая готовит отчет о переходе с BI Connector. Утилита не экранирует имена баз и коллекций при сборке HTML и CSV. В отчет также попадают текст запросов и имена пользователей из журналов BI Connector - без кодирования под контекст вывода. Пользователь кластера с правами на запись может назвать коллекцию так, что при открытии отчета в браузере выполнится скрипт, а в таблице сработает формула. Условие атаки одинаковое: оператор сам формирует отчет по затронутому пространству имен и открывает его. Исправление для этих записей - 1.1.3, у CVE-2026-76798 оценка 6,3 по CVSS 3.1.

Зависимости на Go

В перечне ссылок сводного бюллетеня есть записи по пакетам Go. CVE-2024-45337 описывает обход авторизации в golang.org/x/crypto/ssh. Приложение запоминает ключи, предложенные клиентом, и потом принимает по ним решения об авторизации, хотя клиент может и не владеть закрытым ключом. Оценка - 9,1 по CVSS 3.1, исправление вышло в версии 0.31.0. CVE-2022-30636 - обход пути в autocert на Windows: прочитать можно только файлы с суффиксом +http-01, поэтому эффект ограничен. CVE-2025-22874 отключает проверку политик в crypto/x509 при использовании ExtKeyUsageAny; исправлено в Go 1.24.4.

Обновлять нужно все перечисленные компоненты. Порог для Database Tools - 100.20.1, для Entity Framework - 9.0.5 и 10.0.5. Драйвер C обновляют до 1.30.15 и 2.5.8, драйвер Rust - до 3.10.0, драйвер ODBC - до 3.0.1, JDBC-драйвер - до 4.0.1. Утилиты переходят на Schema Builder CLI 1.2.1 и Transition Readiness Report 1.1.3. Сводный бюллетень Multiples vulnérabilités dans MongoDB датирован 5 ноября 2026 года, уведомления MongoDB - 3 ноября.

Сведений об эксплуатации в реальных атаках в записях нет. Для CVE-2022-30636 указан статус poc: опубликован рабочий образец. Там, где приведена оценка SSVC, эксплуатация не отмечена. Обходных мер защиты записи не приводят - только обновление. Начинать стоит с ODBC-драйвера и утилит: их ошибки срабатывают при наличии прав в базе или доступа к журналам, без редких условий.

Что меняется после обновления

ODBC-драйвер: запись за границами буфера

Журналы и отчеты: утечка данных

Зависимости на Go

Ссылки