MongoDB C# Driver: Deserialisierung nicht vertrauenswürdiger Daten (CVE-2026-126982)

Was ist betroffen, was ist zu tun

Ein Umgehen der Typen-Whitelist in der BSON-Serialisierungsbibliothek des MongoDB C#-Treiber ermöglicht es, eine Typen-Beschränkungsprüfung zu umgehen, wenn polymorphe Daten in locker typisierte Mitglieder deserialisiert werden. Eine nicht autorisierte Partei, die BSON/JSON-Daten bereitstellen oder platzieren kann, die die Anwendung später deserialisiert, kann dazu führen, dass der Anwendungsprozess .NET-Typen außerhalb der vorgesehenen Whitelist instanziieren und sie mit von der nicht autorisierten Partei kontrollierten Werten befüllen.

Aktualisieren Sie MongoDB C# Driver auf Version 3.14.0.

Betroffen

• MongoDB C# Driver lt 3.2.0..3.14.0

Behoben in

• MongoDB C# Driver 3.14.0

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Ein Umgehen der Typen-Whitelist in der BSON-Serialisierungsbibliothek des MongoDB C#-Treiber ermöglicht es, eine Typen-Beschränkungsprüfung zu umgehen, wenn polymorphe Daten in locker typisierte Mitglieder deserialisiert werden. Eine nicht autorisierte Partei, die BSON/JSON-Daten bereitstellen oder platzieren kann, die die Anwendung später deserialisiert, kann dazu führen, dass der Anwendungsprozess .NET-Typen außerhalb der vorgesehenen Whitelist instanziieren und sie mit von der nicht autorisierten Partei kontrollierten Werten befüllen. In Anwendungen, die einen geeigneten Gadget-Typ enthalten, kann dies zu beliebiger Code-Ausführung im Kontext der Anwendung führen, mit entsprechendem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit. Es werden keine besonderen Rechte über die Fähigkeit hinaus benötigt, Daten einzuführen, die die Anwendung liest.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: ENISA EUVD, CVE.org (MITRE), NVD (NIST)

Hersteller und Produkte

• MongoDB MongoDB C Driver

Weakness-Klassen (CWE)

• CWE-502Deserialization of Untrusted Data

  Base

  The product deserializes untrusted data without sufficiently ensuring that the resulting data will be valid.

  Eintrag bei MITRE CWE-502

Quellen & Referenzen

• jira.mongodb.orgbrowse/CSHARP-6160euvd
• NVD (NIST)vuln/detail/CVE-2026-126982euvd

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 13.11.2026Neu erfasstMongoDB

   CVSS V4.0: AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

   CVSS V3.1: AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

   Schwachstellentyp: CWE-502

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://jira.mongodb.org/browse/CSHARP-6160
   6 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Beschreibung	ergänzt	—	A type allow-list bypass in the BSON serialization library of the MongoDB C# Driver allows a type-restriction check to be circumvented when polymorphic data is deserialized into loosely typed members. An unauthorized party who can supply or plant BSON/JSON data that the application later deserializes can cause the application process to instantiate .NET types outside the intended allow-list and populate them with unauthorized party-controlled values. In applications that contain a suitable gadget type, this can lead to arbitrary code execution in the context of the application, with corresponding loss of confidentiality, integrity, and availability. No special privileges beyond the ability to introduce data the application reads are required.
   CVSS	ergänzt	—	AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
   CVSS	ergänzt	—	AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
   Schwachstellentyp (CWE)	ergänzt	—	CWE-502
   Betroffene Versionen (Herausgeber)	ergänzt	—	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/126xxx/CVE-2026-126982.json">CVE-2026-126982</a>
   Referenz	ergänzt	—	https://jira.mongodb.org/browse/CSHARP-6160

   Kennung der Quelle: cna@mongodb.com