CVE-2026-82067 в Ubuntu: отключение авторизации в MongoDB и порядок проверки

CVE: CVE-2026-82067
Продукт: Ubuntu
Дата публикации: 08.09.2026
Критичность: CRITICAL
CVSS: 9.2 (4.0)
EPSS: 0,28%; процентиль 20,67%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В MongoDB Server, поставляемом в Ubuntu Pro, обнаружена ошибка валидации конфигурации, из-за которой подсистема авторизации может остаться отключенной при запуске. Это позволяет неаутентифицированному пользователю с сетевым доступом выполнять административные операции. Статья описывает затронутые версии пакетов, механику срабатывания и способы проверки статуса системы.

Основные характеристики​

Риск связан с ошибкой обработки регистрозависимости в компоненте валидации конфигурации MongoDB Server. Если срабатывает это условие, сервер может стартовать с отключенной авторизацией, что открывает полный доступ к данным и управлению для любого клиента, имеющего сетевой доступ.

• Тип ошибки: CWE-178 (Incorrect Default Permissions). Ошибка приводит к тому, что компонент безопасности (авторизация) находится в состоянии по умолчанию (отключен), хотя должен быть активен.
  
• CVSS 4.0: 9.2 (CRITICAL). Вектор: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Высокий балл обусловлен возможностью удаленного доступа без аутентификации и полным воздействием на конфиденциальность, целостность и доступность данных.
  
• CVSS 3.1 (Ubuntu): 9.8 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. Ubuntu классифицирует уязвимость как medium в контексте своих ESM-релизов, что требует проверки актуальности пакетов.
  
• Эксплуатация: В каталоге CISA KEV подтверждений о массовой эксплуатации в дикой природе нет. EPSS составляет 0,28% (процентиль 20,67%), что указывает на низкую вероятность эксплуатации в ближайший год, но не исключает нацеленных атак.
  
• Статус: Под анализом (Undergoing Analysis). Официальные данные MongoDB и Ubuntu предоставляют техническое описание, но не содержат готовых эксплойтов.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает пакет mongodb и связанные бинарные компоненты в дистрибутивах Ubuntu, поддерживаемых через Ubuntu Pro (ESM). Затронуты только специфические версии пакетов, поставляемые в рамках расширенной поддержки.

• Ubuntu 14.04 LTS (esm-infra-legacy/trusty): Пакет mongodb версии 1:2.4.9-1ubuntu2+esm2. Затронуты бинарники mongodb, mongodb-clients, mongodb-server.
  
• Ubuntu 16.04 LTS (esm-apps/xenial): Пакет mongodb версии 1:2.6.10-0ubuntu1+esm2. Затронуты бинарники mongodb, mongodb-clients, mongodb-server.
  
• Ubuntu 18.04 LTS (esm-apps/bionic): Пакет mongodb версии 1:3.6.3-0ubuntu1.4+esm2. Затронуты бинарники mongodb, mongodb-clients, mongodb-server, mongodb-server-core.
  
• Ubuntu 20.04 LTS (esm-apps/focal): Пакет mongodb версии 1:3.6.9+really3.6.8+90~g8e540c0b6d-0ubuntu5.3+esm1. Затронуты бинарники mongodb, mongodb-clients, mongodb-server, mongodb-server-core.
  

Для других версий Ubuntu или установок MongoDB из репозиториев MongoDB Inc. данные из Ubuntu OSV не применимы напрямую. Необходимо сверяться с официальными уведомлениями производителя MongoDB.

Причина уязвимости​

Причина уязвимости кроется в компоненте валидации конфигурации MongoDB Server. При обработке параметров конфигурации система некорректно учитывает регистрозависимость (case sensitivity) определенных ключей или значений.

В результате этой ошибки валидатор может не распознать корректно настроенный параметр, активирующий подсистему авторизации. Вследствие этого при запуске сервера подсистема авторизации остается в состоянии по умолчанию, которое является отключенным (disabled). Это нарушает базовый принцип безопасности, при котором доступ к административным функциям должен требовать аутентификации.

Как работает атака​

Атакующий использует сетевой доступ к порту MongoDB (по умолчанию 27017) на системе, где сработала ошибка валидации конфигурации. Поскольку авторизация отключена, сервер не требует предоставления учетных данных для подключения.

После установления соединения атакующий может выполнять произвольные административные операции. Это включает чтение, изменение и удаление данных, а также управление пользователями и настройками сервера.

Механика не требует обхода авторизации, так как она фактически отсутствует в момент эксплуатации. Успех атаки зависит от того, что порт MongoDB доступен из сети, в которой находится атакующий, и что конфигурация сервера попала под действие ошибки валидации.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости необходимо соблюдение следующих условий:

• Сетевая доступность: Атакующий должен иметь сетевой доступ к порту MongoDB (27017 или кастомному) на целевой системе. Если порт закрыт файрволом или не опубликован в интернет, эксплуатация невозможна.
  
• Срабатывание ошибки конфигурации: Сервер должен быть настроен таким образом, чтобы ошибка валидации регистрозависимости привела к отключению авторизации. Если конфигурация корректно валидируется и авторизация включена, уязвимость не проявляется.
  
• Затронутая версия пакета: Система должна использовать одну из перечисленных в разделе «Затронутые продукты» версий пакета mongodb из Ubuntu Pro. Другие версии могут не содержать этой конкретной реализации валидатора.
  
• Отсутствие дополнительных механизмов защиты: Если на уровне сети или приложения (например, через прокси или шлюз) реализована дополнительная аутентификация, она может блокировать прямой доступ, но сама уязвимость в MongoDB при этом сохраняется.
  

Возможный сценарий атаки​

Сценарий атаки начинается с разведки, в ходе которой атакующий обнаруживает открытый порт MongoDB на целевой системе. Используя стандартные инструменты сканирования, он подтверждает наличие сервиса.

Далее атакующий пытается установить соединение с MongoDB. В норме сервер запросил бы учетные данные, но из-за CVE-2026-82067 соединение устанавливается без аутентификации. Атакующий получает полный доступ к базе данных.

Он может создать нового администратора, изменить права доступа существующих пользователей или удалить критически важные данные. В некоторых случаях атакующий может внедрить вредоносный код или изменить конфигурацию сервера для закрепления в системе.

Весь процесс происходит без необходимости обхода механизмов безопасности, так как они отключены ошибкой конфигурации.

Есть ли публичный эксплойт​

На момент публикации статьи в каталоге CISA KEV нет записей о подтвержденной эксплуатации CVE-2026-82067 в реальных атаках. EPSS составляет 0,28%, что свидетельствует о низкой вероятности массовой эксплуатации в ближайший год.

Официальные источники (NVD, Ubuntu OSV, Jira MongoDB) предоставляют техническое описание уязвимости, но не публикуют готовый PoC (Proof of Concept) или рабочий эксплойт.

Отсутствие публичного эксплойта не означает, что атакующие не могут самостоятельно разработать его на основе описания. Разница между техническим описанием и подтвержденной эксплуатацией заключается в том, что первое подтверждает наличие бага, а второе — его использование в реальных инцидентах. На данный момент подтвержденных инцидентов нет.

Признаки эксплуатации​

Специфичных индикаторов компрометации (IOC), уникальных для CVE-2026-82067, в открытых источниках не опубликовано. Однако можно использовать общие признаки аномальной активности в MongoDB, которые требуют дополнительной проверки:

• Подключения без аутентификации: Записи в логах MongoDB, показывающие успешные подключения от IP-адресов, не имеющих соответствующих учетных записей, или попытки подключения, которые обычно должны были быть отклонены из-за отсутствия авторизации.
  
• Аномальные административные операции: Создание новых пользователей с правами администратора, изменение конфигурации сервера (например, отключение аутентификации в явном виде, если она была включена ранее), или массовые операции с данными, не соответствующие обычным паттернам приложения.
  
• Неизвестные IP-адреса: Подключения к порту MongoDB с IP-адресов, которые не входят в доверенный список (allowlist) для вашего окружения.
  

Эти признаки неспецифичны и могут быть вызваны другими причинами, включая ошибки конфигурации или другие уязвимости. Их наличие требует расследования, но не является прямым доказательством эксплуатации именно CVE-2026-82067.

Как обнаружить атаку​

Для обнаружения потенциальной эксплуатации или наличия уязвимого состояния рекомендуется использовать следующие методы:

• Проверка статуса авторизации: Убедитесь, что подсистема авторизации MongoDB включена. Это можно сделать, проверив конфигурационный файл или используя команду mongosh (или mongo для старых версий) с попыткой подключения без учетных данных. Если подключение успешно и позволяет выполнять административные команды, авторизация, вероятно, отключена.
  
• Анализ логов MongoDB: Изучите логи сервера на предмет аномальных подключений и операций. Обратите внимание на записи, связанные с изменением конфигурации, созданием пользователей или доступом к данным от неизвестных источников.
  
• Сканирование открытых портов: Регулярно сканируйте сеть на предмет открытых портов MongoDB. Если порт доступен из внешних сетей, это повышает риск эксплуатации.
  
• Мониторинг конфигурации: Используйте инструменты конфигурационного аудита для проверки того, что параметры MongoDB соответствуют политикам безопасности, включая обязательное включение авторизации.
  

Как проверить свою версию​

Для проверки, затронута ли ваша система, выполните следующие команды. Замените <имя-пакета> на mongodb или конкретный бинарный пакет (например, mongodb-server), если вы хотите проверить конкретный компонент.

# Проверка версии ОС
cat /etc/os-release

# Проверка версии ядра
uname -r

# Проверка версии установленного пакета mongodb
apt-cache policy mongodb

# Проверка статуса безопасности Ubuntu
ubuntu-security-status

Команда apt-cache policy mongodb покажет установленную версию пакета и доступные обновления. Сравните полученную версию с перечнем затронутых версий в разделе «Затронутые продукты». Если ваша версия совпадает с одной из перечисленных, система потенциально уязвима.

Команда ubuntu-security-status поможет определить, есть ли доступные обновления безопасности для вашей системы.

Исправление​

Основным способом устранения уязвимости является обновление пакета mongodb до исправленной версии. Для пользователей Ubuntu Pro это означает применение обновлений из репозиториев ESM (Extended Security Maintenance).

• Обновление пакетов: Выполните sudo apt update и затем sudo apt upgrade для получения последних версий пакетов, включая mongodb. Убедитесь, что обновления применяются ко всем затронутым бинарным компонентам (mongodb, mongodb-server, mongodb-server-core, mongodb-clients).
  
• Перезапуск службы: После обновления пакетов перезапустите службу MongoDB, чтобы изменения вступили в силу: sudo systemctl restart mongodb (имя службы может варьироваться в зависимости от версии и конфигурации).
  
• Проверка конфигурации: Убедитесь, что в конфигурационном файле MongoDB явно включена авторизация. Даже после обновления пакета, если конфигурация содержит ошибку, приводящую к отключению авторизации, проблема может сохраниться. Проверьте параметр security.authorization в конфигурационном файле.
  

Если обновление невозможно в ближайшее время, рассмотрите временные меры, описанные в следующем разделе.

Временные меры защиты​

Если немедленное обновление пакета невозможно, можно применить следующие временные меры для снижения риска:

• Ограничение сетевого доступа: Настройте файрвол (например, ufw или iptables) так, чтобы порт MongoDB (27017) был доступен только из доверенных IP-адресов. Заблокируйте доступ из интернета и из сетей, где находятся потенциальные атакующие.
  
• Использование VPN или шлюза: Если MongoDB должен быть доступен из удаленных сетей, используйте VPN или шлюз с аутентификацией, который будет проверять пользователей до передачи трафика на MongoDB.
  
• Ручная проверка конфигурации: Убедитесь, что в конфигурационном файле MongoDB параметр security.authorization установлен в значение enabled. Если вы не уверены в корректности конфигурации, временно отключите доступ к MongoDB до проверки.
  
• Мониторинг: Усиленный мониторинг логов MongoDB и сетевой активности для быстрого обнаружения аномальных подключений.
  

Эти меры не устраняют уязвимость, но снижают вероятность успешной атаки, ограничивая поверхность атаки.

Как проверить устранение уязвимости​

После применения исправлений необходимо убедиться, что уязвимость устранена:

• Проверка версии пакета: Убедитесь, что версия пакета mongodb соответствует исправленной версии, указанной в официальных уведомлениях Ubuntu или MongoDB. Используйте apt-cache policy mongodb для проверки.
  
• Тестирование авторизации: Попробуйте подключиться к MongoDB без предоставления учетных данных. Если подключение отклоняется с ошибкой аутентификации, авторизация работает корректно. Если подключение успешно, проблема не устранена.
  
• Проверка конфигурации: Убедитесь, что в конфигурационном файле MongoDB параметр security.authorization установлен в значение enabled. Проверьте, что нет других параметров, которые могут отключать авторизацию.
  
• Мониторинг логов: Продолжайте мониторинг логов MongoDB на предмет аномальной активности в течение нескольких дней после обновления, чтобы убедиться, что атакующие не успели закрепиться в системе до применения исправлений.
  

Вывод​

CVE-2026-82067 представляет серьезную угрозу для систем Ubuntu, использующих пакет mongodb из репозиториев Ubuntu Pro, если срабатывает ошибка валидации конфигурации, приводящая к отключению авторизации. Уязвимость позволяет неаутентифицированному пользователю с сетевым доступом выполнять административные операции, что ведет к полной компрометации данных и системы.

Хотя подтверждений массовой эксплуатации в каталоге CISA KEV нет, низкий EPSS не должен давать ложного чувства безопасности. Администраторам следует проверить версии установленных пакетов, убедиться в корректности конфигурации MongoDB и применить доступные обновления.

Временные меры, такие как ограничение сетевого доступа, могут снизить риск, но не заменяют обновление. Регулярный мониторинг и проверка конфигурации являются ключевыми элементами защиты от подобных уязвимостей.

Официальные источники​

1. NVD — CVE-2026-82067
   
2. Ubuntu OSV — CVE-2026-82067
   
3. FIRST EPSS — CVE-2026-82067
   

История обновлений статьи​

• 10.09.2026 — Опубликована первая версия материала.
  
• 11.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.