CVE-2026-8201: Use-After-Free in MongoDB FLE
Platform
mongodb
Component
mongodb
Opgelost in
8.3.2
CVE-2026-8201 is een use-after-free kwetsbaarheid in MongoDB's Field-Level Encryption (FLE) query analysis component, specifiek in de mongocryptd component. Deze kwetsbaarheid treedt op wanneer een client een FLE-gerelateerde query stuurt waarvan de structuur de analyse component in een onstabiele toestand brengt. Dit kan leiden tot een Denial-of-Service. De kwetsbaarheid beïnvloedt MongoDB Server’s mongocryptd component in versies 7.0.0 tot en met 8.3.2. De kwetsbaarheid is verholpen in versie 8.3.2.
Impact en Aanvalsscenarios
Een aanvaller kan CVE-2026-8201 uitbuiten door zorgvuldig geconstrueerde FLE-gerelateerde queries te sturen die de query analyse component in een onstabiele toestand brengen. Dit kan leiden tot een use-after-free, wat resulteert in een crash van de mongocryptd proces en mogelijk een Denial-of-Service. De impact is significant, aangezien het de beschikbaarheid van de FLE functionaliteit kan beïnvloeden. De blast radius is beperkt tot de mongocryptd proces, maar kan indirect andere services beïnvloeden die afhankelijk zijn van FLE.
Uitbuitingscontext
De publicatie datum van CVE-2026-8201 is 2026-05-13. Er is momenteel geen publieke Proof-of-Concept (POC) code beschikbaar. De kwetsbaarheid is opgenomen in het NVD en wordt gevolgd door CISA. De kans op exploitatie wordt als medium beschouwd, gezien de relatieve complexiteit van het uitbuiten van de kwetsbaarheid.
Dreigingsinformatie
Exploit Status
CVSS-vector
Wat betekenen deze metrics?
- Attack Vector
- Netwerk — op afstand uitbuitbaar via internet. Geen fysieke of lokale toegang vereist.
- Attack Complexity
- Hoog — vereist een race condition, niet-standaard configuratie of specifieke omstandigheden.
- Privileges Required
- Laag — elk geldig gebruikersaccount is voldoende.
- User Interaction
- Geen — automatische en stille aanval. Slachtoffer doet niets.
- Scope
- Ongewijzigd — impact beperkt tot het kwetsbare component.
- Confidentiality
- Laag — gedeeltelijke toegang tot enkele gegevens.
- Integrity
- Laag — aanvaller kan enkele gegevens met beperkte omvang aanpassen.
- Availability
- Hoog — volledige crash of uitputting van resources. Totale denial of service.
Getroffen Software
Zwakheidsclassificatie (CWE)
Tijdlijn
- Gepubliceerd
Mitigatie en Workarounds
De primaire mitigatie voor CVE-2026-8201 is het upgraden van MongoDB Server naar versie 8.3.2 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het beperken van de complexiteit van FLE-gerelateerde queries. Implementeer resource monitoring om het geheugengebruik van de mongocryptd proces te volgen en waarschuwingen in te stellen bij ongebruikelijk gedrag. Na de upgrade, controleer de FLE functionaliteit en bevestig dat er geen onverwachte fouten optreden.
Hoe te verhelpenwordt vertaald…
Actualice su instancia de MongoDB Server a la versión 7.0.34, 8.0.23, 8.2.9 o 8.3.2 o superior para mitigar esta vulnerabilidad de uso después de liberar. Asegúrese de revisar las notas de la versión para cualquier cambio de compatibilidad antes de actualizar. La actualización corrige el problema en el componente mongocryptd.
Veelgestelde vragen
Wat is CVE-2026-8201?
Het is een use-after-free kwetsbaarheid in MongoDB's Field-Level Encryption (FLE) component.
Ben ik kwetsbaar?
Ja, als u MongoDB Server gebruikt in versies 7.0.0 tot en met 8.3.2 bent u kwetsbaar.
Hoe kan ik dit oplossen?
Upgrade MongoDB Server naar versie 8.3.2 of hoger.
Wordt dit al misbruikt?
Er is momenteel geen publieke exploitatie bekend.
Waar kan ik meer informatie vinden?
Raadpleeg de MongoDB security advisories en de NVD-entry voor CVE-2026-8201.
Is jouw project getroffen?
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Probeer het nu — geen account
Upload een manifest (composer.lock, package-lock.json, WordPress pluginlijst…) of plak uw componentenlijst. U ontvangt direct een kwetsbaarheidsrapport. Een bestand uploaden is slechts het begin: met een account krijgt u continue monitoring, Slack/e-mail alerts, multi-project en white-label rapporten.
Sleep uw afhankelijkheidsbestand hierheen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...