CVE-2026-87110: неконтролируемое потребление ресурсов в MongoDB Ops Manager
В MongoDB Ops Manager обнаружена уязвимость CVE-2026-87110, позволяющая неаутентифицированному злоумышленнику с доступом к веб-порту вызывать неконтролируемое потребление ресурсов через эндпоинты мониторинга. Повторные запросы к ресурсоёмким операциям не ограничиваются по частоте, что замедляет обработку остального трафика. Уровень опасности — средний (CVSS 6.9).
Подробности
Уязвимости подвержен продукт MongoDB Ops Manager. Согласно описанию, неаутентифицированный пользователь, имеющий сетевой доступ к веб-порту Ops Manager, может многократно обращаться к эндпоинтам мониторинга, выполнение которых требует значительных вычислительных затрат. При этом механизм ограничения частоты запросов (rate limiting) отсутствует. В результате повторяющихся запросов обработка другого трафика, обслуживаемого тем же процессом, временно замедляется, пока атакующие запросы продолжают поступать. То есть речь идёт о временном снижении доступности и производительности сервиса, а не о выполнении кода или утечке данных. Уязвимости присвоен базовый балл CVSS 6.9, что соответствует среднему уровню опасности. Для эксплуатации достаточно сетевого доступа к веб-порту, аутентификация не требуется, что повышает практическую ценность атаки для злоумышленника, находящегося внутри периметра или имеющего доступ к открытому порту. Сведения об уязвимости опубликованы в базе CVE Project (cvelistV5). Конкретные версии MongoDB Ops Manager, в которых присутствует проблема, в записи CVE не перечислены — их следует уточнять у вендора.Что делать
В первую очередь рекомендуется проверить наличие обновлений MongoDB Ops Manager у вендора и установить актуальную версию, в которой проблема устранена. Поскольку запись CVE не содержит сведений о патче, ориентируйтесь на официальные рекомендации и бюллетени безопасности MongoDB. Если обновление пока недоступно, примените компенсирующие меры: - Ограничьте сетевой доступ к веб-порту Ops Manager: не оставляйте его открытым в интернет, используйте firewall, security groups и списки разрешённых адресов. - Разместите Ops Manager в доверенном сегменте сети и ограничьте круг систем и пользователей, которым доступен порт. - Настройте ограничение частоты запросов на уровне обратного прокси, балансировщика или WAF, чтобы снизить эффект от массовых обращений к эндпоинтам мониторинга. - Внедрите мониторинг аномальной нагрузки на веб-процесс Ops Manager и алерты на всплески запросов к эндпоинтам мониторинга. - Оцените, насколько критичен Ops Manager в вашей инфраструктуре, и при необходимости предусмотрите резервирование и план реагирования на деградацию сервиса. Итог: CVE-2026-87110 — уязвимость среднего уровня, позволяющая неаутентифицированному пользователю с сетевым доступом к веб-порту MongoDB Ops Manager вызывать временное замедление сервиса через ресурсоёмкие эндпоинты мониторинга без ограничения частоты. Наиболее эффективные меры — обновление продукта и ограничение сетевого доступа к веб-интерфейсу.Источник: CVE Project (cvelistV5)