Buffer Overflows im ODBC Driver MongoDB schließt vier Speichersicherheitslücken

Eine kritische Schwachstelle und drei weitere Sicherheitslücken im Mongo­DB BI Connector ODBC Driver ermöglichen Buffer Overflows und Out-of-Bounds-Fehler. Patches für die zeitnahe Installation sind verfügbar.

Nutzer von MongoDB sollten schnellstmöglich die Version 1.4.9 installieren. Denn der BI Connector ODBC Driver, eine Client-Komponente zur SQL-basierten Anbindung von BI- und Reporting-Werkzeugen wie Excel, Power BI oder Tableau an MongoDB, enthält mehrere Sicherheitslücken. Eine davon ist kritisch und kann zu Speicherbeschädigungen oder sogar Remote Code Execution führen.

Aktive Ausnutzung

Patch führt zu zweiter Schwachstelle in Apache Tomcat

Metadaten-Parsing anfällig

Die Schwachstelle EUVD-2026-57603 / CVE-2026-19001 (CVSS-Score 9.5, EPSS-Score^* 0.38) befindet sich in den Metadaten-Abruf-Funktionen des ODBC Drivers. Wenn eine Anwendung ungewöhnlich lange Katalog-, Schema- oder Objektnamen an diese Funktionen übergibt, schreibt der Driver über die Grenzen eines festgelegten Puffers hinaus. Dies kann zu Speicherbeschädigung innerhalb des Prozesses der aufrufenden Anwendung führen, zu abnormalem Programmabbruch oder, unter bestimmten Bedingungen, zu beliebiger Codeausführung führen.

Microsoft Patchday August 2026

Aktiv ausgenutzte Kernel-Lücke und Cloud-Fehler mit CVSS 10

Drei weitere Out-of-Bounds-Schreibfehler

MongoDB behob diesen sowie drei weitere Out-of-Bounds-Fehler mit Version 1.4.9:

• EUVD-2026-57602 / CVE-2026-19002 (CVSS-Score 8.8, EPSS-Score 0.29) entsteht durch fehlende Grenzkontrolle beim Parsen von Stored-Procedure-Parameter-Metadaten. Ein Angreifer mit Kontrolle über den Server, mit dem sich der Driver verbindet, oder mit der Fähigkeit, sich an dessen Stelle auszugeben, kann fehlerhafte Metadaten zurückgeben und damit einen Out-of-Bounds-Write auslösen. Dies kann zu unerwarteten Abstürzen oder zu beliebiger Codeausführung führen.

• EUVD-2026-57607 / CVE-2026-19004 (CVSS-Score 8.8, EPSS-Score 0.36) betrifft die Verarbeitung von Ausgabeparametern aus gespeicherten Prozeduren. Auch hier ist ein Angreifer, der sich mit einem manipulierten oder untrusted Datenbankserver verbindet, in der Lage, speziell präparierte Metadaten zu senden und damit Speichersicherheitsprobleme auszulösen. Dies kann zu Prozessabsturz, Speicheroffenlegung oder Codeausführung führen.

• EUVD-2026-57630 / CVE-2026-19003 (CVSS-Score 8.4, EPSS-Score 0.13) ist eine lokale Buffer-Overflow-Schwachstelle im Setup-Dialog des ODBC Drivers. Eine Datenkonfiguration mit überlanger Dateipfad-Einstellung kann dazu führen, dass der Dialog über die Grenzen eines zugewiesenen Puffers schreibt. Das Problem entsteht durch falsche Pufferkapazitäts­be­rech­nung in der Datei- und Ordnerauswahlbehandlung und wird nur ausgelöst, wenn ein Benutzer den Setup-Dialog für eine solche Datenquelle öffnet und eine Datei- oder Ordnerauswahl initiiert. Je nach Build-Konfiguration kann dies von abnormaler Prozessbeendigung bis hin zu Codeausführung im Kontext des Benutzers führen.

High-Risk-Vulnerabilities betreffen die gesamte IT-Landschaft

Zehn Schwachstellen, die Unternehmen 2026 im Blick haben sollten

Betroffene Versionen und Patches

Alle vier Schwachstellen betreffen Versionen des MongoDB BI Connector ODBC Drivers von 1.0.0 bis einschließlich 1.4.8. MongoDB hat Version 1.4.9 mit allen Patches veröffentlicht. Die Up­dates beheben alle Buffer-Overflow- und Out-of-Bounds-Anfälligkeiten durch Im­ple­men­tie­rung korrekter Grenzkontrolle.

Betroffene Organisationen sollten den MongoDB BI Connector ODBC Driver auf Version 1.4.9 oder später aktualisieren. Bis ein Patch eingespielt werden kann, sollten Administratoren den ODBC Driver nur gegen vertrauenswürdige Datenbankserver verbinden und bei lokalen Zu­griffen auf den Setup-Dialog beschränken. Anwendungen, die mit dem betroffenen Driver ar­bei­ten, sollten auf Fehler und unerwartete Programmabstürze überwacht werden, die auf Exploitversuche hindeuten könnten.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Pwn2Own Berlin 2026

KI verkürzt das Patch-Fenster auf Stunden

(ID:50929413)