CVE-2026-87109: утечка данных MFA в MongoDB Ops Manager
В MongoDB Ops Manager обнаружена уязвимость средней степени опасности (CVSS 6), позволяющая одному участнику организации получить секретные данные MFA-регистрации другого пользователя. Проблема затрагивает организации и проекты, где enrollment второго фактора ещё не подтверждён. Злоумышленнику требуется действующая учётная запись в той же организации.
Подробности
Уязвимость затрагивает MongoDB Ops Manager. Согласно описанию, аутентифицированный участник организации (organization member) может через конечные точки вывода списка пользователей (user-listing endpoints) получить значение seed для настройки аутентификатора другого участника — при условии, что процедура регистрации второго фактора у этого пользователя ещё не подтверждена (unconfirmed enrollment). Seed представляет собой секретный материал, на основе которого генерируются одноразовые коды MFA. Его раскрытие означает утечку чувствительных данных аутентификации: получивший их участник той же организации или проекта потенциально способен восстановить коды и обойти второй фактор защиты другой учётной записи. Оценка CVSS 6 (MEDIUM) отражает необходимость наличия действующей аутентификации у атакующего и ограничение круга потенциальных жертв рамками одной организации или проекта, однако само воздействие затрагивает целостность механизмов многофакторной защиты. Точный перечень уязвимых версий Ops Manager в записи CVE не приводится, поэтому для определения конкретных затронутых релизов следует обращаться к официальным рекомендациям вендора.Что делать
- Обновить MongoDB Ops Manager до версии, в которой уязвимость устранена. Актуальную информацию о исправленных релизах публикует вендор — сверьтесь с его официальными бюллетенями безопасности. - Ограничить доступ к конечным точкам вывода списка пользователей, если такая возможность предусмотрена конфигурацией. - Проверить журналы доступа на предмет подозрительных обращений к user-listing endpoints со стороны участников организации. - В качестве временной митигации — принудительно завершить или перевести в подтверждённое состояние все незавершённые процедуры регистрации MFA, чтобы исключить наличие «висящих» неподтверждённых enrollment. - Рассмотреть дополнительные меры контроля: разграничение ролей, минимизация числа участников с правом просмотра списков пользователей.Итог
CVE-2026-87109 — уязвимость средней критичности в MongoDB Ops Manager, при которой секретный seed незавершённой MFA-регистрации может быть получен другим участником той же организации или проекта. Несмотря на необходимость аутентификации для эксплуатации, утечка материала второго фактора создаёт риск компрометации учётных записей. Рекомендуется оперативно обновить продукт до исправленной версии и проверить состояние незавершённых MFA-enrollment в своих организациях.Источник: CVE Project (cvelistV5)