MongoDB maʼlumotlar bazasida kritik zaiflik aniqlandi: atigi ikkita Ping sörovi serverni işdan çiqarişi mumkin!
Dunyoda keng qöllaniladigan MongoDB maʼlumotlar bazasini boşqariş tizimida autentifikatsiyani talab qilmaydigan kritik zaiflik aniqlandi. CVE-2026-118383 identifikatori bilan röyxatga olingan mazkur zaiflik masofaviy tajovuzkorga tizimga kirmasdan, atigi ikkita maxsus şakllantirilgan Ping sörovi yordamida maʼlumotlar bazasi serverini işdan çiqariş imkonini berişi mumkin.
Zaiflikka CVSS v4.0 baholaş tizimi böyiça 9,5 ball berilgan. Uning muvaffaqiyatli ekspluatatsiyasi serverning kutilmaganda töxtab qolişiga, ayrim şaroitlarda esa server jarayoni doirasida ixtiyoriy kod bajarilişiga olib kelişi mumkin. Bu, ayniqsa, yuqori darajadagi uzluksiz işlaşni talab qiladigan va bir neçta serverdan taşkil topgan maʼlumotlar bazasi infratuzilmalari uçun jiddiy xavf tuğdiradi.
MongoDB işlab çiquvçilari 2026-yil 10-noyabr kuni xavfsizlik yangilanişi haqida xabar berib, muammoni bartaraf etuvçi versiyalarni taqdim etdi. Kompaniya hozirça uşbu zaiflikdan real hujumlarda foydalanilganiga oid maʼlumotlarga ega emasligini bildirgan.
Zaiflikning texnik mohiyati: xotiradan notöğri foydalaniş
Mazkur muammo MongoDB Server dasturining replikatsiya (replication) mexanizmida aniqlangan. Texnik jihatdan u Use-After-Free (CWE-416) turidagi xotirani boşqariş xatosi hisoblanadi.
Use-After-Free — dastur tomonidan foydalanilayotgan xotira maydoni avvalroq böşatilganidan keyin ham unga murojaat qiliş holatidir. Bunday vaziyatda dastur xotiraning notöğri yoki boşqa jarayon uçun ajratilgan qismidan foydalanişga urinişi mumkin. Natijada xotira yaxlitligi buziladi, dastur kutilmaganda töxtaydi yoki ayrim şaroitlarda tajovuzkor uçun ixtiyoriy kod bajariş imkoniyati yuzaga keladi.
MongoDBʼdagi uşbu zaiflik maʼlumotlar bazasi klasterida yangi asosiy server (Primary) saylangandan keyin işga tuşadigan catch-up jarayonining yakuniy bosqiçida yuzaga keladi.
MongoDBʼda Replica Set deb ataluvçi arxitektura bir neçta serverdan taşkil topadi. Ulardan biri Primary vazifasini bajarib, maʼlumotlarni yoziş operatsiyalarini qabul qiladi. Qolgan serverlar esa Secondary sifatida işlaydi va Primary serverdagi özgarişlarning nusxasini saqlab boradi.
Agar amaldagi Primary server işdan çiqsa yoki boşqa sababga köra öz vazifasini bajara olmasa, klasterdagi boşqa aʼzolar örtasida saylov jarayoni boşlanadi. Natijada Secondary serverlardan biri yangi Primary etib tayinlanadi.
Yangi Primary yoziş operatsiyalarini qabul qilişdan oldin boşqa serverlarda bajarilgan, ammo öziga hali yetib kelmagan özgarişlarni sinxronlaştirişi kerak. Aynan şu jarayon catch-up deb ataladi.
Tadqiqotçilar aniqlaşiça, zaiflik mazkur sinxronlaştiriş jarayoni yakunlanib, vaqtinçalik xotira obyektlarini tozalaş vaqtida yuzaga keladi. Dastur ayrim kutiş mexanizmlariga (waiter) tegişli xotirani ikki marta böşatişga urinadi. Natijada avval böşatilgan xotiraga qayta murojaat qilinib, serverning işdan çiqişiga sabab böladi.
Ikki dona Ping sörovi orqali hujum qanday amalga oşiriladi?
Datadog Security Labs tadqiqotçilari CVE-2026-118383 zaifligini laboratoriya şaroitida tekşirib, uning qanday işlaş mexanizmini namoyiş etgan.
Aniqlanişiça, tajovuzkor MongoDB serveriga autentifikatsiyadan ötmasdan ham Ping buyruğini yuborişi mumkin. U uşbu imkoniyatdan foydalanib, readConcern.afterOpTime parametrini öz içiga olgan ikkita maxsus şakllantirilgan sörovni yuboradi.
Mazkur sörovlar MongoDB içida waiter deb ataluvçi kutiş obyektlarini hosil qiladi. Ular maʼlum bir replikatsiya holatiga erişilişini kutiş uçun möljallangan bölib, sörov bajarilgandan keyin ham xotirada saqlanib qolişi mumkin.
Muhim jihati şundaki, ikkita sörovning yuborilişi serverni darhol işdan çiqarmaydi. Hujum muvaffaqiyatli yakunlanişi uçun qöşimça şartlar ham bajarilişi kerak:
- Dastlabki sörovlarni yuboriş: tajovuzkor autentifikatsiyasiz ikkita maxsus Ping sörovini yuborib, serverda muayyan kutiş obyektlarini hosil qiladi.
- Replikatsiya keçikişi: klasterdagi mazkur server boşqa aʼzolardan ortda qolişi, yaʼni ayrim maʼlumotlarni öz vaqtida qabul qilmasligi kerak.
- Yangi Primary etib saylaniş: ortda qolgan server keyingi saylov jarayonida Primary vazifasiga tayinlanişi lozim.
- Xotira xatosining yuzaga kelişi: sinxronlaştiriş jarayoni yakunlangaç, kutiş obyektlarini tozalaş mexanizmi xotiradan notöğri foydalanadi va serverning işdan çiqişiga olib keladi.
Şu sababli hujumning yakuniy bosqiçi tajovuzkor tomonidan töliq boşqarilmaydi. Replikatsiya keçikişi va serverning qayta saylovda ğolib bölişi texnik xizmat körsatiş, uziliş yoki boşqa infratuzilmaviy hodisalar vaqtida yuz berişi mumkin.
Tadqiqotçilar tört aʼzodan iborat Replica Set klasterini yaratib, uşbu holatni laboratoriya şaroitida qayta tiklaşga muvaffaq bölgan. MongoDB 8.0.34 versiyasida ikkita sörov yuborilgaç, yangi Primary serverida Segmentation fault xatosi qayd etilgan va mongod jarayoni töxtab qolgan.
Nazorat sinovida esa xuddi şu jarayon sörovlarsiz bajarilganda server normal işlaşda davom etgan. Tuzatilgan MongoDB 8.0.37 versiyasida esa ikkala sörov ham Unauthorized xatosi bilan rad etilgan va server faoliyatini davom ettirgan.
Tadqiqotçilar laboratoriya sinovlarida masofadan turib ixtiyoriy kod bajarilişiga erişmagan. Biroq işlab çiquvçilar zaiflik ayrim şaroitlarda bunday oqibatga ham olib kelişi mumkinligini tasdiqlagan.
Qaysi MongoDB versiyalari zaiflikdan taʼsirlangan?
Aniqlangan zaiflik MongoDBʼning Replica Set arxitekturasidan foydalanadigan serverlariga taalluqli. Bunga şarded klasterlar tarkibidagi şard serverlari hamda konfiguratsiya serverlari ham kiradi.
Biroq mustaqil, yaʼni Replica Set tarkibida işlamaydigan mongod serverlari uşbu zaiflikdan taʼsirlanmaydi. Çunki ularda yangi Primary serverni saylaş va uning maʼlumotlarni sinxronlaştiriş jarayoni mavjud emas.
MongoDB işlab çiquvçilari quyidagi versiyalarda zaiflikni bartaraf etgan:
| MongoDB tarmoği | Tuzatilgan versiya |
|---|---|
| 9.0.x | 9.0.7 |
| 8.3.x | 8.3.16 |
| 8.0.x | 8.0.37 |
| 7.0.x | 7.0.48 |
| 6.0.x | 6.0.30 |
| 5.0.x | 5.0.35 |
| 4.4.x | 4.4.32 |
Mazkur versiyalardan oldingi tegişli relizlarda zaiflik mavjud bölişi mumkin. Şu sababli taşkilotlar foydalanayotgan MongoDB versiyalarini tekşirişi va tegişli tuzatilgan versiyalarga yangilaşi zarur.
Zaiflikdan foydalanişga urinişlarni qanday aniqlaş mumkin?
Datadog Security Labs mutaxassislari administratorlarga MongoDB serverining tizim jurnallarini (log-fayllarini) batafsil tahlil qilişni tavsiya etmoqda.
Xususan, quyidagi belgilar şubhali faollikdan dalolat berişi mumkin:
- Autentifikatsiyadan ötmagan manbalardan yuborilgan Ping buyruqlari;
- Sörovlar tarkibidagi readConcern.afterOpTime parametri;
- MaxTimeMSExpired xatosi bilan yakunlangan noodatiy kutiş operatsiyalari;
- Bir xil serverda Primary sinxronlaştiriş jarayonining qisqa vaqt içida ikki marta yakunlangani haqidagi qaydlar;
- SIGSEGV yoki Segmentation fault xatolari;
- Xatoliklar jurnalida CatchupState::abort_inlock() funksiyasiga tegişli yozuvlarning mavjudligi.
Ayniqsa, bir serverda Primary sinxronlaştiriş jarayonining ikki marta yakunlangani va undan keyin SIGSEGV xatosi qayd etilişi alohida tekşirilişi lozim.
Şuningdek, administratorlar faqat server işdan çiqqan vaqtdagi yozuvlarni emas, balki undan oldingi davrga tegişli log-fayllarni ham örganişi kerak. Sababi, tajovuzkor tomonidan yuborilgan dastlabki sörovlar serverning işdan çiqişidan ança oldin amalga oşirilgan bölişi mumkin.
Bunda loglaş sozlamalariga ham eʼtibor qaratiş zarur. Ayrim sörovlar faqat bajariliş vaqti belgilangan çegaradan oşganda yoki buyruqlarni qayd etiş darajasi oşirilganda jurnalga yoziladi. Şu bois barça kerakli maʼlumotlar saqlanayotganini tekşiriş muhim.
Taşkilotlar uçun xavfsizlik tavsiyalari
MongoDB maʼlumotlar bazasidan foydalanadigan taşkilotlar mazkur zaiflik bilan boğliq xavflarni kamaytiriş va infratuzilmaning uzluksiz işlaşini taʼminlaş maqsadida quyidagi çoralarni amalga oşirişi tavsiya etiladi:
- Dasturiy taʼminotni yangilaş. Barça MongoDB serverlarini işlab çiquvçi tomonidan taqdim etilgan zaiflik bartaraf etilgan versiyalarga yangilaş. Yangilaniş faqat Primary serverda emas, balki Replica Set tarkibidagi barça aʼzolarda amalga oşirilişi kerak.
- Barça serverlar versiyasini tekşiriş. Konteynerlarda işlayotgan, vaqtinça öçirilgan yoki texnik xizmat körsatiş vaqtida tarmoqdan uzilgan serverlarni ham inventarizatsiyadan ötkaziş va ularning versiyalarini tekşiriş.
- Tarmoq orqali kirişni çeklaş. MongoDB serverlariga kiriş imkoniyatini faqat zarur bölgan işonçli IP-manzillar va xizmatlar bilan çeklaş. Maʼlumotlar bazasi portlarini oçiq internet orqali töğridan-töğri foydalaniş imkoniyatidan himoyalaş.
- Autentifikatsiya va ruxsatlarni nazorat qiliş. Kuçli autentifikatsiya mexanizmlarini joriy etiş, foydalanuvçilarga faqat xizmat vazifalarini bajariş uçun zarur bölgan huquqlarni beriş. Biroq mazkur zaiflikning dastlabki bosqiçi autentifikatsiyasiz amalga oşişi mumkinligi sababli, uşbu çora dasturiy yangilaniş örnini bosa olmaydi.
- Log-fayllarni muntazam tahlil qiliş. Noodatiy Ping sörovlari, readConcern.afterOpTime parametri, replikatsiya jarayonidagi takroriy xatoliklar va serverning kutilmaganda töxtab qoliş holatlarini kuzatiş.
- Monitoring va zaxira mexanizmlarini kuçaytiriş. Replica Set aʼzolarining holati, Primary server almaşinuvi va replikatsiya keçikişlarini doimiy nazorat qiliş. Maʼlumotlar yöqolişining oldini oliş uçun zaxira nusxalarini yaratiş va ularni tiklaş imkoniyatini muntazam sinovdan ötkaziş.
MongoDB Atlas bulutli xizmatidan foydalanuvçi taşkilotlarning klasterlari belgilangan texnik xizmat körsatiş jarayonida avtomatik ravişda tuzatilgan versiyalarga yangilanadi. Biroq texnik xizmat körsatişni keçiktirgan mijozlarga yangilanişni imkon qadar tezroq amalga oşiriş tavsiya etiladi.
CVE-2026-118383 zaifligi maʼlumotlar bazasi infratuzilmasida autentifikatsiya mexanizmlarining özi barça xavfsizlik xatarlarini bartaraf eta olmasligini yana bir bor körsatmoqda. Ayniqsa, taşqi tarmoqdan kiriş imkoniyati mavjud bölgan va bir neçta serverdan taşkil topgan maʼlumotlar bazasi klasterlari bunday zaifliklar uçun jiddiy nişonga aylanişi mumkin.
Garçi mazkur zaiflikdan foydalaniş uçun qöşimça texnik şartlar talab etilsa-da, uning server faoliyatini töxtatib qöyişi va ayrim şaroitlarda ixtiyoriy kod bajarilişiga olib kelişi mumkinligi xavf darajasini yanada oşiradi.
Şu bois MongoDB administratorlari va taşkilotlarning kiberxavfsizlik böyiça masʼul mutaxassislariga server versiyalarini zudlik bilan tekşiriş, tegişli xavfsizlik yangilanişlarini örnatiş, maʼlumotlar bazasi portlarini taşqi tarmoqlardan himoyalaş hamda tizim jurnallarini muntazam tahlil qilib boriş tavsiya etiladi.
