CVE-2026-81490
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Użytkownik bazy danych mogący utworzyć widok w przestrzeni nazw, którą MongoDB Connector for BI próbkuje, może spowodować zatrzymanie działania procedury próbkowania schematu, definiując widok, którego ocena niezawodnie kończy się niepowodzeniem. Logika próbkowania klasyfikuje wynikowy komunikat serwera jako przejściowy i po wyczerpaniu skonfigurowanych ponowień kontynuuje bez prawidłowego wyniku, kończąc procedurę odświeżania schematu. Proces mongosqld działa nadal bez użytecznego schematu, więc klienci SQL nie mogą uzyskać wyników, dopóki operator nie usunie widoku lub nie wykluczy jego przestrzeni nazw z próbkowania.
Ocena ryzyka
Atakujący z uprawnieniami do tworzenia widoków może spowodować trwałą awarię funkcji próbkowania schematu, co prowadzi do niedostępności danych dla klientów SQL.
Rekomendacja
Zaktualizuj MongoDB Connector for BI do wersji z poprawką. Ogranicz uprawnienia do tworzenia widoków i monitoruj przestrzenie nazw próbkowane przez konektor.
Inne podatności w MongoDB Connector for BI
Zobacz wszystkie- CVE-2026-81520Wysokie
Nieuwierzytelniony klient dostępny z sieci może utrzymywać sesję uwierzytelniania MongoDB Connector for BI w nieskończoność, rozpoczynając wymianę logowania opartą na SASL i nie kończąc jej. Ponieważ pętla negocjacji nie miała limitu czasu, a odczyt od klienta nie miał terminu, każda taka sesja zatrzymuje pracownika, slot połączenia klienckiego i powiązane połączenia z bazą danych aż do restartu procesu. Wielokrotne wykorzystanie tego zachowania może wyczerpać skonfigurowaną pojemność połączeń i uniemożliwić legalnym użytkownikom nawiązanie nowych sesji.
- CVE-2026-81518Wysokie
Gdy mongosqld jest skonfigurowany z plikiem urzędu certyfikacji klienta, nasłuchiwacz żąda certyfikatu klienta podczas uzgadniania TLS, ale go nie wymaga, więc klient nieprzedstawiający certyfikatu jest nadal akceptowany. W środowiskach, które polegają na certyfikatach klienckich jako jedynym sposobie identyfikacji użytkowników, zdalna strona z dostępem sieciowym do nasłuchiwacza może ustanowić sesję i odczytać dane MongoDB udostępniane przez konektor.
- CVE-2026-81517Wysokie
Nieuwierzytelniona strona mająca dostęp do portu instancji MongoDB Connector for BI (mongosqld) może generować wystarczającą ilość rutynowej aktywności logów połączeń, aby wyczerpać pamięć masową skonfigurowanej ścieżki logów. Gdy zapis logu lub operacja rotacji logu nie powiedzie się, błąd nie jest obsługiwany i wspólny proces mongosqld kończy działanie, przerywając usługę dla wszystkich podłączonych klientów SQL. Proces nadal kończy się przy starcie, dopóki operator nie przywróci dostępnej pamięci, a komunikat diagnostyczny wyjaśniający stan nie jest rejestrowany.
- CVE-2026-77586Wysokie
W MongoDB Connector for BI nazwy obiektów MongoDB, takie jak nazwy kolekcji, pól i indeksów, są umieszczane w cytowanych identyfikatorach tekstu DDL zwracanego przez instrukcje SHOW CREATE bez escapowania ogranicznika identyfikatora. Użytkownik z uprawnieniami do zapisu w próbkowanej kolekcji MongoDB może wybrać nazwę, która zamyka cytowany identyfikator wcześniej, tak że dodatkowy tekst SQL staje się częścią wygenerowanego wyniku. Jeśli operator lub zautomatyzowane narzędzie później odtworzy tę wygenerowaną instrukcję na serwerze SQL, dodatkowy tekst zostanie wykonany z uprawnieniami tej sesji.
- CVE-2026-77184Średnie
W MongoDB Connector for BI, tekst opisu walidatora schematu JSON kolekcji jest włączany do tekstu komentarza DDL zwracanego przez instrukcje SHOW CREATE bez pełnego escapowania znaków backslash. Użytkownik z uprawnieniem do modyfikacji walidatora schematu kolekcji, w środowiskach skonfigurowanych do budowania schematu SQL z tych walidatorów, może spowodować osadzenie dodatkowego tekstu SQL w generowanym wyniku. Jeśli operator lub zautomatyzowane narzędzie później odtworzy tę wygenerowaną instrukcję na serwerze SQL, dodatkowy tekst zostanie wykonany z uprawnieniami tej sesji.
- CVE-2026-75573Średnie
W MongoDB Connector for BI, narzędzie mongodrdl może zapisać hasło klucza prywatnego TLS do standardowego wyjścia błędów, gdy hasło jest podane zarówno w URI połączenia, jak i w opcji linii poleceń. Lokalny użytkownik z dostępem do przechwyconego wyjścia może użyć hasła do klucza.
- CVE-2026-75159Średnie
Nieuwierzytelniony klient, który może dotrzeć do MongoDB Connector for BI skonfigurowanego z uwierzytelnianiem Kerberos, może spowodować zakończenie działania mongosqld przez spreparowaną wymianę uwierzytelniającą, która napotyka specyficzny błąd GSSAPI. Może to przerwać dostępność BI Connectora do czasu restartu procesu.
Oryginalny opis (angielski, źródło NVD)
A database user able to create a view in a namespace that MongoDB Connector for BI samples can cause the schema-sampling routine to stop functioning by defining a view whose evaluation reliably fails. The sampling logic classifies the resulting server message as transient and, after the configured retries are exhausted, proceeds without a valid result, ending the schema refresh routine. The mongosqld process continues running without a usable schema, so SQL clients are unable to obtain results until an operator removes the view or excludes its namespace from sampling.