nexsight cyber intelligence / signal online wire desk · issue 355
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

脆弱性 / VULNERABILITIES / DATABASE

MongoDBのドライバとBI Connectorで12件の脆弱性を修正 — 名前空間操作やKMS鍵露出、BI Connectorのサービス停止も

MongoDBは2026年8月27日、複数のドライバとBI Connectorに影響する12件の脆弱性を公表した。PHPやC、C++、Rustドライバでの名前空間への不正な文字列混入による他テナントへの書き込み先変更、C#ドライバでのNoSQLインジェクションやKMSマスターキーの平文露出、BI ConnectorでのTLS秘密鍵パスワードのログ出力やKerberos処理でのサービス停止などが含まれる。

脆弱性 NEXSIGHT CYBER WIRE 編集部 4–5 min read
攻撃手法

MongoDBは2026年8月27日、同社の複数ドライバとBI Connectorに影響する12件の脆弱性を公表した。同社のアラートページで一括して案内され、米国立標準技術研究所（NIST）が運営する脆弱性データベースNVDでも同日以降に各CVEの詳細が公開された。MongoDBは各製品の修正版への更新を案内している。

12件の内訳

公表された12件は次のとおりである。MongoDBのアラートページでは2026年8月27日付で並べて掲載された。

  • CVE-2026-81521〜CVE-2026-81530の10件（各ドライバ）
  • CVE-2026-75573、CVE-2026-75159の2件（BI Connector）

いずれもMongoDBがCNAとしてNVDに登録したものである。

ドライバでの名前空間操作とインジェクション

複数のドライバでは、アプリケーションが外部入力を名前空間（データベース名やコレクション名など）に組み込む際に、特殊な文字列の除去が不十分だった。

PHP／C／C++／Rustドライバ: 別テナントへの書き込み先変更

  • CVE-2026-81525（PHP Library/Extension、CVSS 8.6）を含む**CVE-2026-81525、CVE-2026-81524（C）、CVE-2026-81522（C++）、CVE-2026-81526（Rust）**では、ドットやNUL文字の混入により、アプリケーションが意図した論理的な保存先とは別の場所へ操作が向けられるおそれがある。MongoDBは「信頼できない文字列を名前空間に組み込むアプリケーションで、操作が別のテナント境界へ向けられる可能性がある」と説明している。

NVDの説明によれば、CVE-2026-81525は「アプリケーションが提供する名前空間識別子に含まれる特殊要素の除去が不十分で、信頼できないテキストを組み込むと操作が意図しない保存先へ向けられる」という内容である。影響を受けるのはPHP Libraryの0系で1.21.4未満、2.0.0以上で2.4.1未満などである。

C#ドライバ: NoSQLインジェクションと接続文字列操作

  • CVE-2026-81528では、ドキュメント置換時の更新形状の検証を回避してNoSQLインジェクションが可能になる。
  • CVE-2026-81529では、接続URLの組み立て時に区切り文字の無害化が不十分で、接続オプションのインジェクションが可能になる。

いずれもC#ドライバが影響を受ける。

情報露出とサービス停止

C#ドライバ: KMSマスターキーの平文露出

CVE-2026-81530（CVSS 6.8）では、C#ドライバのクライアントサイド暗号化の設定表示が、KMSのマスターキーなどの秘密情報をマスクせず平文で再現してしまう。他の秘密フィールドはマスクされるのに対し、この経路ではマスクされないため、アプリケーションのログや診断出力、プロセスのメモリダンプを読める者が平文の認証情報を取得し、保護されたフィールドの復号に悪用されるおそれがあるとNVDは説明している。影響はC#ドライバの2.10.0以上で3.11.1未満である。

BI Connector: TLS秘密鍵パスワードのログ出力とクラッシュ

  • CVE-2026-75573では、BI Connector（mongosqld）が重複するオプションを含む場合に、TLS秘密鍵のパスワードを標準エラー出力へログ出力してしまう。
  • CVE-2026-75159（CVSS 8.2）では、細工されたKerberos認証交換によりmongosqldプロセスが終了し、BI Connectorの可用性が失われる。

影響を受ける製品と対応

MongoDBのアラートページは、各CVEごとに影響を受ける製品と修正済みバージョンを示している。MongoDBは12件すべてについて、該当するドライバやBI Connectorを修正版へ更新することを案内している。

開発者向けには、アプリケーション側で外部入力の厳格な検証や、型付けされたドキュメントマッピングの採用も有効である。修正版のバージョン番号や更新手順の詳細は、MongoDBのアラートページと各JIRA課題（例: CSHARP-6164など）で確認できる。現時点で、MongoDBはこれらの脆弱性の悪用の有無について、個別の悪用確認を公表していない。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。