MongoDB: Kritische Lücke MongoBleed bedroht Zehntausende Datenbanken

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt eindringlich vor einer kritischen Sicherheitslücke in MongoDB-Datenbanken. Die Schwachstelle mit dem Namen “MongoBleed” ermöglicht Angreifern den unberechtigten Zugriff auf sensible Speicherinhalte – ohne Authentifizierung. Zehntausende Systeme weltweit sind betroffen, darunter auch viele in Deutschland.

Die als kritisch eingestufte Lücke (CVSS 8.7) steckt in der zlib-Kompressionsbibliothek von MongoDB. Durch einen Programmierfehler wird der Arbeitsspeicher nicht korrekt initialisiert. Das eröffnet Angreifern eine gefährliche Möglichkeit: Sie können speziell präparierte Anfragen an den Datenbank-Port senden und erhalten im Gegenzug Fragmente des Server-Arbeitsspeichers.

Das BSI warnt vor kritischen Speicherleckern wie „MongoBleed“ – Angreifer gelangen oft ohne Authentifizierung an Datenbestandteile. Zahlreiche Unternehmen sind betroffen (laut Scans sind rund 87.000 MongoDB-Instanzen öffentlich erreichbar), weshalb kurzfristige Schutzmaßnahmen jetzt entscheidend sind. Unser kostenloser Cyber-Security-Report erklärt praxisnah, wie Sie Datenbanken isolieren, Kompression temporär deaktivieren und Logs auf Indikatoren prüfen, damit sich ein Einfallstor nicht zu einem flächendeckenden Schaden entwickelt. Jetzt kostenlosen Cyber-Security-Report herunterladen

Das Brisante daran? Für diesen Angriff benötigen Hacker weder Passwort noch Zugangsdaten. Einzig eine Netzwerkverbindung zum Standard-Port 27017 ist nötig. Die ausgelesenen Speicherfragmente können hochsensible Informationen enthalten – von Klartext-Passwörtern über AWS-Schlüssel bis hin zu gerade verarbeiteten Nutzerdaten. Technisch erinnert der Mechanismus an die berüchtigte “Heartbleed”-Lücke aus dem Jahr 2014.

“Die geringe Angriffskomplexität macht diese Lücke besonders gefährlich”, warnt das BSI in seiner aktualisierten Advisory. Standard-Authentifizierungsmechanismen werden einfach umgangen. Für Cyberkriminelle, die auf Credential Harvesting oder Industriespionage aus sind, ist das ein gefundenes Fressen.

Betroffene Versionen: Fast alle MongoDB-Server gefährdet

Das Ausmaß der Verwundbarkeit ist enorm. Praktisch alle unterstützten MongoDB-Versionen – und sogar etliche veraltete Releases – sind betroffen:

• MongoDB 8.2: Versionen 8.2.0 bis 8.2.3
• MongoDB 8.0: Versionen 8.0.0 bis 8.0.16
• MongoDB 7.0: Versionen 7.0.0 bis 7.0.26
• MongoDB 6.0: Versionen 6.0.0 bis 6.0.26
• MongoDB 5.0: Versionen 5.0.0 bis 5.0.31
• MongoDB 4.4: Versionen 4.4.0 bis 4.4.29
• Veraltete Versionen: Sämtliche Releases von MongoDB 4.2, 4.0 und 3.6

Internet-Scans zeigen das alarmierende Bild: Rund 87.000 MongoDB-Instanzen sind weltweit über das öffentliche Internet erreichbar und potenziell verwundbar. Hotspots sind die USA, China – und Deutschland. Für deutsche Unternehmen, die MongoDB häufig für kritische Infrastruktur und Kundendaten nutzen, ist die Warnung daher besonders relevant.

Erste Ausnutzungsversuche sind bereits im Umlauf. Angreifer scannen systematisch nach offenen Ports. Die Veröffentlichung eines Proof-of-Concept-Exploits Anfang dieser Woche hat die Aktivitäten noch beschleunigt. Die Zeit zum Handeln wird knapp.

Sofortmaßnahmen: Patchen oder Workaround anwenden

MongoDB hat bereits gepatchte Versionen für alle betroffenen Releases bereitgestellt. Das BSI rät Administratoren dringend, auf folgende sichere Versionen zu aktualisieren:

• 8.2.3
• 8.0.17
• 7.0.28
• 6.0.27
• 5.0.32
• 4.4.30

Für den Fall, dass ein sofortiges Patchen nicht möglich ist, gibt es einen Notbehelf: Die Deaktivierung der zlib-Kompression auf dem MongoDB-Server schließt die Lücke. Dies erfolgt über die Konfigurationsoption networkMessageCompressors. Sicherheitsexperten betonen jedoch: Dies ist nur eine Übergangslösung. Ein vollständiges Update bleibt unverzichtbar.

Zusätzlich empfiehlt das BSI eine Überprüfung der Netzwerkkonfiguration. Datenbankserver sollten grundsätzlich nicht direkt aus dem Internet erreichbar sein. Firewalls, VPNs oder private Subnetze können den Fernangriffsvektor für diese spezifische Lücke wirksam neutralisieren.

Compliance-Risiko: Drohen DSGVO-Strafen?

Der “MongoBleed”-Vorfall wirft ein grelles Licht auf die Risiken von Speichersicherheitslücken in weit verbreiteter Infrastruktur-Software. Datenbanken gelten als “Kronjuwelen” der IT-Landschaft – hier liegen die wertvollsten und am strengsten regulierten Daten.

Eine Lücke, die unauthentifizierte Datenexfiltration erlaubt, birgt erhebliche Compliance-Risiken. Vor allem die EU-Datenschutzgrundverordnung (DSGVO) verlangt von Unternehmen “dem Stand der Technik entsprechende” Schutzmaßnahmen. Die Ignorierung einer solchen BSI-Warnung könnte von Aufsichtsbehörden als Fahrlässigkeit gewertet werden – mit potenziell hohen Geldstrafen.

Die Gefahr geht noch weiter: Werden administrative Zugangsdaten ausgelesen, können Angreifer sich im Netzwerk ausbreiten. Aus einem Datenbank-Leck wird so schnell ein umfassender Ransomware-Angriff oder ein Fall von Wirtschaftsspionage.

Was jetzt zu tun ist: Die kritischen nächsten Tage

Die Angriffsaktivitäten werden in den kommenden Tagen voraussichtlich noch zunehmen. Die Zeitspanne zwischen der Veröffentlichung einer kritischen Lücke und ihrer automatisierten Ausnutzung schrumpft kontinuierlich. Mit öffentlich verfügbarem Exploit-Code werden nun auch weniger versierte Angreifer und automatisierte Botnetze aktiv.

Unternehmen sollten ihre Logs auf ungewöhnliche Verbindungsmuster überwachen – wobei sich die Speicherleck-Anfragen bei oberflächlicher Betrachtung in legitimen Traffic einfügen können. Für IT-Teams sind die nächsten Tage entscheidend: Datenbank-Inventar prüfen, Patches einspielen und sicherstellen, dass während des Gefahrenfensters keine Zugangsdaten kompromittiert wurden. Sicherheitsverantwortliche rechnen damit, dass dieser Vorfall den Fokus auf Datenbank-Isolierung und das Management von Bibliotheksabhängigkeiten neu entfachen wird.

PS: Sie wollen verhindern, dass aus einem Datenbank-Leck ein Ransomware-Fall wird? Dieser kostenlose Leitfaden für Geschäftsführer und IT-Verantwortliche zeigt priorisierte Sofortmaßnahmen, Compliance-Checks (DSGVO-Risiken) und wie Sie Netzwerke sowie Zugänge kurzfristig härten – auch ohne große Budgets. Praxistaugliche Checklisten und Handlungsschritte helfen, Angriffsflächen schnell zu reduzieren und Kontrolle zurückzugewinnen. Gratis Cyber-Security-Leitfaden anfordern