הרכיב שנפגע כאן הוא דווקא זה שתפקידו לשמור על מסדי הנתונים. לפי הרשומה, מי ששולח אל IBM Guardium Data Protection ניסיון התחברות ל-MongoDB שבו שם המשתמש ארוך מהצפוי מצליח לשבש את הזיכרון של התוכנה, ומשם הרשומה מונה שתי תוצאות אפשריות: הפלה של השירות או הרצת קוד. הציון הוא 8.1 מתוך 10, והגרסאות שברשומה הן 12.0, 12.1 ו-12.2.

מה החולשה?

כדי שמערכת ניטור תדע מה עובר אל מסד נתונים, היא צריכה להבין את השפה שבה המסד מדבר. כלומר היא מפרסרת את הפרוטוקול: לוקחת את רצף הבתים שעובר ברשת ומפרקת אותו לשדות שיש להם משמעות, מי המשתמש, איזו פקודה, על איזה אוסף נתונים. החולשה שברשומה נמצאת בחלק הזה בדיוק, במפרסר של פרוטוקול MongoDB.

השדה שבו מדובר הוא שם המשתמש, והוא מגיע בשלב שבו הצדדים עוד מברכים זה את זה. ב-MongoDB מכונה השלב הזה SCRAM, מנגנון ההזדהות שבו הלקוח והשרת מחליפים ביניהם אתגר ותשובה לפני שמשהו הוכח. לפי הרשומה, שם משתמש באורך חריג בשלב הזה מביא את התוכנה לכתוב אל אזור בזיכרון יותר ממה שהוקצה לו, והעודף דורך על מה שיושב לידו. לתקלה הזאת קוראים heap overflow, והיא מסומנת כאן CWE-119.

מה שהופך את זה לחולשה ולא לקריסה הוא מי שולט במה שנדרך. הרשומה אינה נעצרת בהפלת השירות אלא מציינת גם הרצת קוד כאפשרות, וזה ההפרש בין מערכת ניטור שנפלה ובין מערכת ניטור שמריצה את מה שהתוקף בחר.

שווה לקרוא את הדירוג עד הסוף, כי הוא אומר שני דברים הפוכים. מצד אחד AV:N לצד PR:N ו-UI:N: הגישה מהרשת, אין צורך בחשבון, ואף אחד לא צריך ללחוץ על כלום. מצד שני AC:H, כלומר הרשומה עצמה מסמנת שהניצול אינו פשוט ותלוי בתנאים. ושלושת הצירים C:H, I:H ו-A:H מסמנים פגיעה גבוהה בסודיות, בשלמות ובזמינות.

מי מושפע?

הרשומה מונה את IBM Guardium Data Protection בגרסאות 12.0, 12.1 ו-12.2.

זה מוצר של ניטור מסדי נתונים ארגוניים, ולכן הקהל שלו הוא ארגונים שמחזיקים נתונים שמישהו דורש מהם דין וחשבון עליהם. בישראל זה עולם הבנקים והביטוח, קופות החולים, חברות התקשורת והגופים הציבוריים הגדולים. גולש פרטי אינו מריץ Guardium ואין לו כאן שום דבר לעשות.

מה שכן, המידע שאותו Guardium מנטר הוא לא פעם המידע של אותו גולש, ומערכת הניטור יודעת עליו הרבה מתוקף תפקידה. זאת הסיבה שחולשה ברכיב כזה מטרידה יותר ממה שהציון 8.1 נשמע.

האם מנוצלת בפועל?

אין ידיעה על ניצול. החולשה אינה מופיעה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמנהלת את רשימת החולשות שידוע כי תוקפים משתמשים בהן בשטח. הרשומה פורסמה ב-8 באוקטובר 2026 ועודכנה ב-10 בו, כלומר היא טרייה, ובגיל כזה היעדר ניצול מדווח אומר מעט מאוד. זה המצב נכון לעדכון האחרון של הדף הזה.

מה עושים?

1. בדקו איזו גרסה מותקנת אצלכם. שלוש הגרסאות שברשומה הן 12.0, 12.1 ו-12.2, וזאת כל רוחב הטווח שהיא מונה.
2. עדכנו לפי הודעת האבטחה של IBM. הרשומה אינה נוקבת בגרסה מתוקנת, ולכן ההודעה של היצרן היא המקום שבו נמצא התיקון עצמו ולא רק אישור שהחולשה קיימת.
3. עד שתעדכנו, שאלו מי יכול לשלוח תעבורת MongoDB אל הקטעים שאתם מנטרים. הקלט שמפעיל את החולשה אינו מגיע מממשק הניהול של Guardium אלא מהתעבורה שהוא מאזין לה, ולכן השאלה המעשית היא מי נמצא על אותן רשתות.
4. התייחסו לרכיב הניטור כמו לנכס רגיש בזכות עצמו. הרשומה מעמידה הרצת קוד כאפשרות, ושרת שמקבל העתק של כל מה שעובר אל מסדי הנתונים הוא יעד שכדאי שיהיה מופרד ברשת ומנוטר בעצמו.