Удаленный клиент, не прошедший проверку подлинности, может вызвать чрезмерную загрузку ЦП на сервере MongoDB, отправив определенную комбинацию параметров ожидаемой команде hello в режиме истощения. Обработка этой комбинации сервером приводит к созданию цикла ответа, который обходит обычное регулирование, позволяя небольшому количеству подключений снижать доступность сервера.
Показать оригинальное описание (EN)
An unauthenticated remote client can cause excessive CPU consumption on a MongoDB server by sending a specific combination of parameters to the awaitable hello command in exhaust mode. The server's handling of this combination results in a response loop that bypasses normal throttling, allowing a small number of connections to degrade server availability.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Нет
Нет модификации данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v4.0