MongoDB Ops Manager: некорректная авторизация при получении ежедневных данных мониторинга хостов (CVE-2026-87108)
В MongoDB Ops Manager обнаружена уязвимость некорректной авторизации (CVE-2026-87108) с оценкой CVSS 2.3 (LOW). Пользователь с ролью только для чтения в одном проекте может получить ежедневную запись мониторинга хоста, относящуюся к другому проекту, если знает идентификатор записи. Утечка раскрывает метаданные развёртывания, включая сведения о хостах и конфигурации.
Подробности
Уязвимость затрагивает MongoDB Ops Manager. Согласно описанию, аутентифицированный пользователь Ops Manager с ролью только для чтения в рамках проекта может получить ежедневную запись мониторинга хоста, принадлежащую другому проекту, при условии, что ему известен необходимый идентификатор записи. Причина проблемы — недостаточная проверка принадлежности (ownership validation) при обработке запроса. Приложение не убеждается должным образом в том, что запрашиваемая запись относится к проекту, к которому у пользователя есть легитимный доступ. В результате срабатывает некорректная авторизация: наличие действительной учётной записи и знания идентификатора оказывается достаточным для получения чужих данных. Потенциальная экспозиция включает метаданные развёртывания, в том числе сведения о хостах и детали конфигурации. Это может дать злоумышленнику или недобросовестному пользователю информацию о внутренней инфраструктуре, полезную для подготовки дальнейших атак. При этом для эксплуатации требуются аутентификация, наличие хотя бы роли только для чтения и знание идентификатора записи, что снижает практическую опасность и объясняет низкую оценку CVSS. Оценка CVSS 2.3 (LOW) отражает ограниченные требования к атакующему и умеренное влияние на конфиденциальность. Целостность и доступность данных, судя по описанию, не затрагиваются.Что делать
Основная рекомендация — обновить MongoDB Ops Manager до версии, в которой устранена CVE-2026-87108. Следует свериться с официальными рекомендациями вендора относительно конкретных исправленных версий и применить доступное обновление в приоритетном порядке. До момента установки обновления целесообразно применить компенсирующие меры: - пересмотреть и минимизировать количество пользователей с доступом к Ops Manager, особенно с ролями только для чтения; - ограничить знание идентификаторов записей мониторинга: не передавать их вне доверенного круга и не публиковать в открытых источниках; - проверить журналы доступа к записям мониторинга на предмет обращений пользователей к данным других проектов; - убедиться, что проекты изолированы организационно, и что доступ к ним предоставляется по принципу минимальных привилегий. Также рекомендуется провести ревизию прав: если пользователю не требуется роль только для чтения, её стоит отозвать. Итог: CVE-2026-87108 — уязвимость низкой критичности в MongoDB Ops Manager, позволяющая аутентифицированному пользователю с ролью только для чтения получить запись мониторинга хоста из другого проекта при знании её идентификатора. Риск ограничен утечкой метаданных развёртывания, однако игнорировать его не стоит: своевременное обновление и принцип минимальных привилегий существенно снижают поверхность атаки.Источник: CVE Project (cvelistV5)