JVN iPediaは2026年10月16日、MongoDB Inc.のPython Driver(PyMongo)に、確保された領域の外を読み取る「境界外読み取り」の脆弱性があると掲載しました。対象は4.18.3未満で、条件によってはアプリケーションのプロセスが終了する恐れがあります。通常のデータベース通信は問題のコードに到達しないため、利用版に加えて、アプリケーションがどのようにデータを読み込むかの確認が必要です。
不正なBSONの読み込みが契機
脆弱性の識別子はCVE-2026-106435です。データ形式のBSONを読み込む際、末尾を示すNULが欠けた、途中で切り詰められた正規表現要素が問題の契機になります。
JVNによると、このような不正BSONをデコードする際に、処理を高速化するバイナリアクセラレーターがバッファの外を読む可能性があります。攻撃には、decodeまたはdecode_allというAPIへBSONを入力する必要があります。C言語による拡張機能である「C拡張」がロードされている場合、攻撃者がアプリケーションのプロセスを終了させる可能性があります。
一方、通常のデータベースワイヤープロトコルによる通信経路は、問題のコードに到達しません。「MongoDBに接続している」という情報だけではなく、該当APIにどのデータを渡しているかが切り分けのポイントです。
主な影響は処理の停止、深刻度は4.7
掲載されたNVD値では、脆弱性の深刻度を示すCVSS v3の基本値は4.7で、区分は「警告」です。攻撃元区分はローカル、攻撃条件の複雑さは「高」、必要な特権レベルは「低」とされています。利用者の関与は不要です。
同評価では、情報の秘密を守る機密性と、改ざんを防ぐ完全性への影響はいずれも「なし」です。一方、サービスや処理を利用し続けられるかを示す可用性への影響は「高」とされています。今回の情報から、情報漏えいやデータ改ざんまで起きると広げて捉えるべきではありません。
JVNは、ベンダ情報を参照して適切な対策を取るよう案内しています。更新先は、対象版の境界だけで決めず、ベンダ情報で確認してください。
影響する会社・しない会社
- 影響する: PyMongo 4.18.3未満を利用する会社は、影響対象版として確認が必要です。特に、decodeまたはdecode_allにBSONを渡す処理と、C拡張のロード状況を調べます。
- 影響しない: PyMongoを利用していない会社は、今回のPyMongoの脆弱性の対象外です。4.18.3以降も、今回掲載された影響対象の範囲には含まれていません。
- 影響しない: 通常のデータベースワイヤープロトコル経路については、問題のコードに到達しないとされています。ただし、同じアプリケーションに別のBSON読み込み処理がないかは、分けて確認してください。
情シスが今日やること
以下は、社内で確認を進めるための手順です。
- 今日の確認依頼で、利用版を集める。 システム台帳と、各アプリケーションの依存ライブラリー一覧を開き、PyMongoの有無と版を確認します。開発担当者や委託先には、CVE-2026-106435と「4.18.3未満が対象」という条件を添えて回答を求めます。
- 対象版が見つかったら、入力経路を確認する。 開発担当者に、コード内のdecodeとdecode_allの呼び出し箇所、そのBSONの入手元、C拡張のロード有無を確認してもらいます。通常のデータベース通信と、これらのAPIを使う処理は分けて記録します。
- 更新日を決める前に、ベンダ情報を照合する。 JVNが案内するベンダ情報で対策内容と更新先を確認します。対象アプリケーションごとに、更新担当者と検証・適用の日程を決めます。
- 対応を閉じる前に、適用結果を残す。 更新後の利用版と、該当するBSON読み込み処理の動作確認結果を記録します。未対応のシステムは、入力経路の確認結果と対応予定をシステム責任者に共有してください。
