CVE-2026-82067 в Ubuntu: отключение авторизации в MongoDB из-за ошибки валидации конфигурации

CVE: CVE-2026-82067
Продукт: Ubuntu
Дата публикации: 08.09.2026
Критичность: CRITICAL
CVSS: 9.2 (4.0)
EPSS: 0,28%; процентиль 20,66%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

Ошибка в компоненте валидации конфигурации MongoDB Server может привести к тому, что подсистема авторизации останется отключенной при запуске. Это позволяет неаутентифицированному пользователю с сетевым доступом выполнять административные операции. В материале описаны затронутые версии пакетов в Ubuntu, механика атаки и порядок проверки исправления.

Основные характеристики​

Риск связан с тем, что ошибка валидации конфигурации может оставить MongoDB Server в режиме без проверки прав доступа. Неаутентифицированный клиент с сетевым доступом получает возможность выполнять административные операции и воздействовать на данные.

• Тип ошибки: CWE-178 (Incorrect Default Permissions). Связана с некорректной обработкой регистрозависимости в компоненте валидации конфигурации.
  
• CVSS 4.0: 9.2 (CRITICAL). Вектор: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X. Высокая оценка отражает сетевой вектор и полное воздействие на конфиденциальность, целостность и доступность.
  
• Условия атаки: Требуется сетевой доступ к уязвимому экземпляру. Аутентификация не требуется.
  
• Эксплуатация: Подтвержденная эксплуатация в реальных атаках не зафиксирована.
  
• EPSS: 0,28% (процентиль 20,66%). Вероятность эксплуатации в ближайшие 30 дней оценивается как низкая.
  

Какие продукты и версии затронуты​

Уязвимость затрагивает пакет mongodb в дистрибутивах Ubuntu, поддерживаемых через Ubuntu Pro (ESM). Затронуты следующие версии пакетов:

• Ubuntu 14.04 LTS (esm-infra-legacy/trusty): 1:2.4.9-1ubuntu2+esm2
  
• Ubuntu 16.04 LTS (esm-apps/xenial): 1:2.6.10-0ubuntu1+esm2
  
• Ubuntu 18.04 LTS (esm-apps/bionic): 1:3.6.3-0ubuntu1.4+esm2
  
• Ubuntu 20.04 LTS (esm-apps/focal): 1:3.6.9+really3.6.8+90~g8e540c0b6d-0ubuntu5.3+esm1
  

Затронуты бинарные пакеты: mongodb, mongodb-clients, mongodb-server и mongodb-server-core (для 18.04 и 20.04).

Причина уязвимости​

Причина уязвимости кроется в компоненте валидации конфигурации MongoDB Server. При обработке конфигурационных параметров система некорректно обрабатывает регистрозависимость (case sensitivity).

В результате при запуске сервера подсистема авторизации может остаться в состоянии по умолчанию, которое является отключенным. Это происходит, если конфигурация содержит параметры, которые из-за ошибки валидации не распознаются как активация авторизации.

Таким образом, сервер стартует в режиме, где проверка прав доступа не выполняется, что открывает доступ к административным функциям для любого клиента, имеющего сетевой доступ.

Как работает атака​

Атакующий использует сетевой доступ к порту MongoDB (по умолчанию 27017) для отправки запросов к уязвимому серверу. Поскольку подсистема авторизации отключена из-за ошибки валидации конфигурации, сервер не требует предоставления учетных данных.

Злоумышленник может отправлять административные команды, такие как создание пользователей, изменение конфигурации или чтение/запись данных. Механизм атаки не требует сложной эксплуатации памяти или обхода песочницы — достаточно стандартного сетевого взаимодействия с API MongoDB.

Критическим фактором является то, что атакующий не должен знать учетные данные или иметь предварительный доступ к системе. Единственное требование — наличие сетевого пути к уязвимому экземпляру.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости необходимо соблюдение следующих условий:

• Сетевой доступ: Атакующий должен иметь возможность устанавливать соединение с портом MongoDB на уязвимом хосте.
  
• Уязвимая конфигурация: Сервер должен быть запущен с конфигурацией, которая из-за ошибки валидации приводит к отключению авторизации.
  
• Отсутствие сетевых фильтров: Межсетевой экран или другие средства защиты не должны блокировать доступ к порту MongoDB.
  
• Уязвимая версия: Используется одна из затронутых версий пакета mongodb в Ubuntu (см. раздел «Какие продукты и версии затронуты»).
  

Возможный сценарий атаки​

Сценарий атаки начинается с разведки, когда атакующий обнаруживает открытый порт MongoDB. Далее он отправляет простой запрос, например, db.adminCommand({ listDatabases: 1 }), без предоставления учетных данных.

Если сервер уязвим, он вернет список баз данных, подтвердив отсутствие авторизации. На этом этапе атакующий может создать нового административного пользователя, чтобы закрепить за собой доступ, или изменить конфигурацию для отключения журналирования.

Далее злоумышленник может извлекать чувствительные данные, модифицировать их или удалять базы данных. Поскольку аутентификация отсутствует, все операции выполняются с полными привилегиями.

Есть ли публичный эксплойт​

На момент публикации данных публичный эксплойт (PoC) или подтвержденная эксплуатация в реальных атаках не зафиксированы. В каталоге CISA KEV уязвимость не числится.

Однако наличие технического описания и CVSS-оценки 9.2 указывает на высокую вероятность разработки эксплойта. Отсутствие публичного кода не означает, что уязвимость не может быть использована — механика атаки проста и не требует сложной реализации.

Признаки эксплуатации​

Специфичные индикаторы компрометации (IOC) для этой уязвимости в источниках не раскрыты. Ниже приведены общие, неспецифичные точки контроля, которые могут указывать на атакующую активность:

• Аномальные подключения: Сетевые логи, показывающие соединения с портом MongoDB с IP-адресов, не входящего в список доверенных.
  
• Создание пользователей: Записи в журналах MongoDB о создании новых пользователей или изменении привилегий в подозрительное время.
  
• Изменение конфигурации: Модификация файлов конфигурации MongoDB или параметров в runtime, не согласованная с администраторами.
  
• Аномальная нагрузка: Внезапный рост запросов к API MongoDB, особенно административных команд.
  

Как обнаружить атаку​

Для обнаружения атаки рекомендуется использовать следующие методы:

• Мониторинг сетевых логов: Отслеживание соединений с портом 27017 (или кастомным портом MongoDB) с внешних IP-адресов.
  
• Анализ логов MongoDB: Проверка журналов сервера на предмет административных команд, выполненных без аутентификации или от неизвестных пользователей.
  
• Сканирование конфигурации: Регулярная проверка конфигурационных файлов MongoDB на наличие параметров, которые могут привести к отключению авторизации.
  
• Интеграция с SIEM: Настройка алертов на события, связанные с созданием пользователей, изменением конфигурации или доступом к чувствительным данным.
  

Как проверить свою версию​

Для проверки версии установленного пакета mongodb в Ubuntu используйте следующие команды:

cat /etc/os-release
uname -r
apt-cache policy mongodb
ubuntu-security-status

Команда apt-cache policy mongodb покажет установленную и доступную версии пакета. Сравните результат со списком уязвимых версий в разделе «Какие продукты и версии затронуты». Если версия совпадает, система уязвима.

Исправление​

Основной способ устранения уязвимости — обновление пакета mongodb до исправленной версии. Для пользователей Ubuntu Pro (ESM) исправление должно быть доступно через стандартные механизмы обновления.

• Ubuntu 14.04 LTS: Обновите пакет mongodb до версии, содержащей исправление.
  
• Ubuntu 16.04 LTS: Обновите пакет mongodb до версии, содержащей исправление.
  
• Ubuntu 18.04 LTS: Обновите пакеты mongodb и mongodb-server-core до версий, содержащих исправление.
  
• Ubuntu 20.04 LTS: Обновите пакеты mongodb и mongodb-server-core до версий, содержащих исправление.
  

После обновления перезапустите службу MongoDB, чтобы изменения вступили в силу.

Временные меры защиты​

До применения исправления рекомендуется принять следующие временные меры:

• Ограничение сетевого доступа: Настройте межсетевой экран или правила iptables, чтобы разрешить доступ к порту MongoDB только с доверенных IP-адресов.
  
• Использование VPN: Ограничьте доступ к MongoDB через виртуальную частную сеть, если это возможно.
  
• Регулярная проверка конфигурации: Убедитесь, что параметры авторизации в конфигурационном файле MongoDB корректно настроены и не содержат ошибок, которые могут привести к отключению подсистемы.
  
• Мониторинг логов: Усиленный мониторинг логов MongoDB и сетевых событий для выявления подозрительной активности.
  

Как проверить устранение уязвимости​

После обновления пакета проверьте, что уязвимость устранена:

1. Убедитесь, что версия пакета mongodb соответствует исправленной (см. официальные источники).
   
2. Перезапустите службу MongoDB.
   
3. Попробуйте подключиться к серверу без предоставления учетных данных. Если авторизация работает корректно, сервер должен отклонить запрос.
   
4. Проверьте логи MongoDB на наличие сообщений об ошибках валидации конфигурации.
   

Если сервер по-прежнему позволяет выполнять административные операции без аутентификации, проблема не устранена.

Вывод​

CVE-2026-82067 представляет серьезную угрозу для систем с MongoDB, установленных в Ubuntu, особенно если они доступны из внешней сети. Уязвимость позволяет неаутентифицированному пользователю выполнять административные операции, что может привести к полной компрометации данных.

Администраторам следует немедленно проверить версии установленных пакетов, ограничить сетевой доступ и применить доступные обновления. Регулярный мониторинг и проверка конфигурации помогут снизить риск эксплуатации уязвимости.

Официальные источники​

1. NVD — CVE-2026-82067
   
2. Ubuntu OSV — CVE-2026-82067
   
3. FIRST EPSS — CVE-2026-82067
   

История обновлений статьи​

• 10.09.2026 — Опубликована первая версия материала.