MongoDB-Treiber: Mehrere Schwachstellen

Tier C · Im Auge behalten – Prüfen, ob du betroffen bist

Wer betroffen ist: Entwickler mit eingesetzten MongoDB-Treibern (C#, Rust, Node.js u. a.)

Tier C, weil: Trifft Tech-Teams

Reichweite

Angriff

Schaden

Fix

Verbreitetes Werkzeug

Was zu tun ist

Eingesetzte MongoDB-Treiber und deren Versionen inventarisieren und mit der WID-Warnung WID-SEC-2026-4561 abgleichen
Verfügbare Sicherheitsupdates der betroffenen Treiber einspielen

Kurz gesagt

Das BSI meldet mehrere Schwachstellen in verschiedenen MongoDB-Treibern: C#, Libmongocrypt, Atlas SQL JDBC, Rust und Node.js.
Laut BSI können Angreifer die Schwachstellen nutzen, um Sicherheitsvorkehrungen zu umgehen, einen Denial-of-Service-Angriff auszuführen oder Informationen offenzulegen.
Die Warnung ist als mittel eingestuft; ein CVSS-Wert wird in der Quelle nicht genannt.

Warum es wichtig ist

Wer MongoDB-Treiber in eigenen Anwendungen einsetzt, sollte prüfen, welche Treiberversionen betroffen sind und ob Updates verfügbar sind, da Angriffe bis hin zur Störung oder Informationsabfluss möglich sind.

Die Checkliste hinter dem Tier

Checkliste · 2 von 10 mit Ja

Ja	Trifft Tech-Teams	Judgment: MongoDB-Treiber für C#, Node.js, Rust und JDBC werden von Entwicklerteams direkt eingebunden.
Nein	Kerninfrastruktur	Judgment: Ein einzelner Datenbank-Hersteller mit seinen Treibern, nicht Software, die nahezu jedes Team betreibt.
Ja	Verbreitetes Werkzeug	Judgment: Die Node.js- und C#-Treiber von MongoDB sind weit verbreitete Entwicklerwerkzeuge.
Nein	Wird ausgenutzt	BSI WID: Die Meldung beschreibt Ausnutzbarkeit, nennt aber keine beobachteten Angriffe.
Nein	Exploit öffentlich	BSI WID: Es wird kein veröffentlichter Exploit oder Proof of Concept erwähnt.
Nein	Aus der Ferne, ohne Login	BSI WID: Die Quelle nennt keine Angriffsvoraussetzungen wie Netzwerkzugriff ohne Anmeldung.
Nein	Volle Übernahme	BSI WID: Genannt werden Umgehung von Sicherheitsvorkehrungen, DoS und Informationsoffenlegung, aber keine Codeausführung oder Rechteausweitung.
Nein	Geheimnisse offengelegt	BSI WID: Informationsoffenlegung wird genannt, ohne dass Zugangsdaten, Schlüssel oder Kundendaten als erbeutet beschrieben werden.
Nein	Lieferkette	BSI WID: Es geht um Schwachstellen in Treibern, nicht um kompromittierte Pakete oder Build-Pipelines.
Nein	Noch kein Fix	BSI WID: Die Quelle nennt keinen fehlenden Fix; ein Update wird nicht ausdrücklich als ausstehend beschrieben.

Zeitleiste

13. Nov.
BSI veröffentlicht Warnung zu mehreren Schwachstellen in MongoDB-Treibern (WID-SEC-2026-4561)
13. Nov. · 13:22
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[NEU] [mittel] MongoDB Treiber (C#, Libmongocrypt, Atlas SQL JDBC, Rust, Node.js): Mehrere Schwachstellen

Quelle

[NEU] [mittel] MongoDB Treiber (C#, Libmongocrypt, Atlas SQL JDBC, Rust, Node.js): Mehrere Schwachstellen ↗ BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories) · vor 2 Std.

Zuerst gesehen vor 2 Std. · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden