本页列出了 MongoDB 的关键警报和建议。有关错误和功能请求的完整列表,请参阅 MongoDB JIRA。
1/23/24 - 6:00 PM EST
MongoDB 已发布了一份关于 2023 年 12 月 16 日美国东部时间 (EST) 首次报道的安全事件的 事件总结。提醒一下,我们的调查已经完成并关闭,并由我们的第三方法医专家进行了验证。
1/03/24 - 5:00 PM EST
我们对 2023 年 12 月 16 日美国东部时间 (EST) 首次报道的安全事件进行调查,现在 已完成并关闭。
由我们的安全和工程团队领导的调查未发现任何未经授权访问 MongoDB Atlas 集群的证据。这一发现已由我们的第三方法医专家进行了验证。
我们致力于及时、透明地提供有关此安全事件详情。我们计划尽快发布事件总结。
1/23/24 - 6:00 PM EST
MongoDB 已发布了一份关于 2023 年 12 月 16 日美国东部时间 (EST) 首次报道的安全事件的 事件总结。提醒一下,我们的调查已经完成并关闭,并由我们的第三方法医专家进行了验证。
1/03/24 - 5:00 PM EST
我们对 2023 年 12 月 16 日美国东部时间 (EST) 首次报道的安全事件进行调查,现在 已完成并关闭。
由我们的安全和工程团队领导的调查未发现任何未经授权访问 MongoDB Atlas 集群的证据。这一发现已由我们的第三方法医专家进行了验证。
我们致力于及时、透明地提供有关此安全事件详情。我们计划尽快发布事件总结。
12/20/23 - 9:00 PM EST
我们继续发现 没有证据表明未经授权访问 MongoDB Atlas 集群或 Atlas 集群身份验证系统。
根据目前的调查结果,未经授权的第三方使用网络钓鱼攻击获取了我们用于向 MongoDB 客户提供支持服务的一些公司应用程序的访问权限。与外部法医专家合作,我们目前有很高的信心,未经授权的第三方已被从我们的公司应用程序中移除,此事件已得到控制。
我们已经确定了一份来自受损害应用程序的未经授权第三方访问的联系方式和相关账户元数据的列表。我们在以下链接的博客文章中提供了字段列表,以及关于先前警报中提供的妥协指标 (IOCs) 的逐步指导。
如前所述,未经授权的第三方主要访问了MongoDB客户联系信息和相关账户元数据。在过去24小时内,MongoDB员工已单独联系了我们博客文章中列出的字段之外所有受影响的客户。这不同于上周末发送的最初安全通知。
今后,当我们获得重要新信息时,我们将提供更新。
2023年12月18日 - 晚上9:00 EST
我们继续没有发现未经授权访问MongoDB Atlas集群或Atlas集群身份验证系统的证据。我们的调查和与相关当局的合作正在进行中。MongoDB将在进一步调查此事时,通过此警报页面上传相关信息。
目前,根据我们与外部专家的合作调查,我们有很高的信心,我们成为了钓鱼攻击的受害者。在我们的调查中,我们确定了某些可能有助于保护自己免受未经授权方潜在攻击的信息
漏洞指标 (IOCs)
未经授权的第三方使用了Mullvad VPN。Mullvad有许多外部IP地址,许多VPN可以用来隐藏IP地址。在这种情况下,我们看到了以下IP地址的恶意活动
我们建议使用上述信息来搜索您的网络中的可疑活动。我们致力于在这个过程中尽可能透明,并提供信息,以便您评估您网络中的风险。
关于我们之前的指导,如何在MongoDB的本地云身份验证服务上启用防钓鱼多因素认证的说明,请见此处。MongoDB云还支持从您的IDP联合您的身份,请参阅此处。
一些客户对我们发送的主题为“MongoDB安全通知”的电子邮件的真实性提出了问题,该电子邮件是由我们的首席信息安全官Lena Smart在周末从mongodbteam@mail1.mongodb.com发送的。我们可以确认这封电子邮件是真实的。
2023年12月17日 - 晚上9:00 EST
目前,我们没有发现未经授权访问MongoDB Atlas集群的证据。明确地说,我们没有在此事件中发现任何MongoDB产品的安全漏洞。重要的是要注意,MongoDB Atlas集群访问是通过与MongoDB公司系统分开的系统进行身份验证的,我们没有发现任何证据表明Atlas集群身份验证系统已被破坏。
我们已知悉未经授权访问了一些包含客户姓名、电话号码和电子邮件地址以及其他客户账户元数据的公司系统,包括一位客户的系统日志。我们已经通知了受影响的客户。目前,我们没有发现任何其他客户的系统日志被访问的证据。
我们正在继续进行调查,并与相关当局和法医公司合作。MongoDB将在继续调查此事时,通过此警报页面上传更多信息。
2023年12月16日 - 下午5:25 EST
我们正在经历登录尝试激增的情况,这导致客户在尝试登录Atlas和我们的支持门户时出现问题。这与安全事件无关。如果您仍然登录有问题,请过几分钟再试一次。(截至晚上10:22 EST,涉及用户登录尝试的问题已解决)
2023年12月16日 - 下午3:00
MongoDB正在积极调查涉及未经授权访问某些MongoDB公司系统的一起安全事件,该事件包括客户账户元数据和联系信息的泄露。我们于周三(2023年12月13日)美国东部标准时间晚上发现了可疑活动,立即启动了事件响应流程,并认为在发现之前,这种未经授权的访问已经持续了一段时间。目前,我们尚未意识到MongoDB Atlas中客户存储的数据有任何泄露。尽管如此,我们建议客户保持警惕,防范社会工程和钓鱼攻击,激活抗钓鱼的多因素认证(MFA),并定期更换MongoDB Atlas密码。随着我们继续调查此事,MongoDB将更新此警报页面以提供更多信息。
当在MongoDB 5.2之前创建的时间序列集合升级到MongoDB 6.0或更高版本,而在此集合被克隆之前,查询可能会返回不完整的结果。相关地,MongoDB Rapid Releases 7.1.0-7.3.3上的时间序列集合,在那些版本上通过collMod更改了集合粒度,也可能返回不完整的查询结果。
Atlas、MongoDB服务器
6.0.0 - 6.0.16
7.0.0 - 7.0.12
7.1.0 - 7.3.3
在MongoDB服务器版本6.0.17上运行包含$group和$lookup的某些聚合管道时,一个错误会导致结果不正确或崩溃。
MongoDB服务器
6.0.17
Node.js v22.7.0运行时存在一个回归,与其处理UTF-8编码相关,这可能影响使用MongoDB Node.js驱动的应用程序的数据完整性。MongoDB在其任何产品中都不使用受影响的Node.js版本,但是使用MongoDB Node.js驱动的开发人员在通过Node.js v22.7.0运行时将数据写入其集群时可能会遇到数据完整性问题。
MongoDB Node.js驱动
如果使用Node.js v22.7.0写入数据,则任何MongoDB Node.js驱动程序版本都可能受到影响
为了平衡负载并保持高质量的服务,Atlas Serverless系统有时会在不同的数据库服务器之间迁移无服务器实例的数据。在迁移完成后,Atlas Serverless不会安全地自动重试某些多写、非事务性数据库命令,这可能导致更新和删除行为不正确。
Atlas Serverless
5.0+
mongosync 1.1.0 – 1.7.1版本在初始数据复制过程中可能出现问题,导致某些写入或源上的文档未复制到目标。请升级到mongosync版本1.7.2或更高版本。Atlas Live Migrate依赖于mongosync进行MongoDB 6.0+迁移,修复已应用于Atlas Live Migrate。
集群间同步(mongosync)
1.1.0 - 1.7.1
影响分片集群上多文档事务的问题,可能导致分片多文档事务返回不正确的数据,并可能错过写入。
MongoDB服务器
4.4.0 - 4.4.29
5.0.0 - 5.0.25
6.0.0 - 6.0.14
7.0.0 - 7.0.8
7.1.0 - 7.3.1
mongodump中的一个错误会导致集合选项中的键以错误的顺序导出。这些更改可能会更改视图返回的结果集,或者更改由验证器接受的文档。
Atlas、Mongodump
该修复已在Atlas上发布,但过去可能影响了免费或共享集群。
Mongodump 4.2.0 - 100.9.0
影响Sharded Time Series集合插入的问题可能导致这些集合上插入的文档立即成为孤儿,导致查询不返回文档并可能导致数据丢失。
MongoDB服务器
5.0.6 - 5.0.21
6.0.0 - 6.0.11
7.0.0 - 7.0.2
mongosync 1.5中的一个竞争条件可能导致源上的某些写入未复制到目标。请升级到版本1.6或更高版本。
集群间同步(mongosync)
1.5.0
存储引擎问题可能导致增量Ops Manager和Cloud Manager备份不一致。从受影响的增量备份中恢复的集群可能会因校验和错误而崩溃。Atlas客户/备份不受影响。
Ops Manager和Cloud Manager
4.4.8 - 4.4.21
5.0.2 - 5.0.17
6.0.0 - 6.0.5
在ARM64或POWER架构上运行的MongoDB存储引擎可能存在一个bug,导致文档或索引条目顺序错误,从而引起不一致性以及查询结果排序不正确或不完整。
MongoDB服务器
4.2.0 - 4.2.23
4.4.0 - 4.4.18
5.0.0 - 5.0.14
6.0.0 - 6.0.4
6.1.0 - 6.2.0
Atlas、Ops Manager和Cloud Manager中的MongoDB代理问题可能导致自动的“滚动索引构建”引入索引不一致性。其他平台上的MongoDB集群不受影响。
Atlas、Ops Manager、Cloud Manager
MongoDB版本4.2.19+、4.4.13+、5.0.6+、5.1-5.3和6.0.0+运行在:
- Atlas - 已在Atlas上发布修复,但过去集群可能受到影响。
- Ops Manager版本5.0.10-5.0.14和6.0.0-6.0.2
- Cloud Manager运行MongoDB Agent版本从11.13.0.7438-1到12.4.0.7702-1
对于配置不当的TTL索引,在从版本4.4或更早版本升级到MongoDB 5.0或6.0时,可能会突然过期文档。
MongoDB服务器
5.0.X
6.0.X
MongoDB版本5.0.0-5.0.10和6.0.0中的分片元数据bug可能在执行movePrimary命令时引入损坏。
MongoDB服务器
5.0.0 - 5.0.10
6.0.0
MongoDB 4.4.3和4.4.4中的存储引擎bug在升级到4.4.8-4.4.10或5.0.2-5.0.5时可能引入损坏。可以从版本4.4.3和4.4.4直接升级到4.4.11+或5.0.6+。
MongoDB服务器
4.4.3
4.4.4
MongoDB 4.4.2-4.4.8和5.0.0-5.0.2中的存储引擎bug可能导致在非干净关闭和重启后数据不一致。升级到版本4.4.9或5.0.3。
MongoDB服务器
4.4.2-4.4.8
5.0.0-5.0.2
MongoDB 4.4.8中的存储引擎bug可能导致在非干净关闭和重启后数据不一致。升级到版本4.4.9。
MongoDB服务器
4.4.8
MongoDB 4.4.7、5.0.0和5.0.1中的存储引擎bug允许某些插入违反唯一索引约束。升级到版本4.4.8或5.0.2。
MongoDB服务器
4.4.7
5.0.0
5.0.1
MongoDB 4.4.5中的存储引擎bug会导致启动时崩溃,并可能导致临时查询正确性问题。升级到版本4.4.6。
MongoDB服务器
4.4.5
某些MongoDB 4.2+产品的备份快照可能发生损坏。
MongoDB服务器
4.2+
启用增量备份时,MongoDB 4.2.7可能存在缓冲区溢出,可能导致内存损坏。
MongoDB服务器
4.2.7
内存管理bug可能导致在索引构建期间重启的副本集次要节点丢失文档和索引不一致。
MongoDB服务器
4.2.0
4.2.1
当MongoDB从非干净关闭恢复时,恢复过程可能损坏已接收大小更改更新的文档。
MongoDB服务器
3.6.14
3.6.15
内存管理bug可能导致失败的操作、进程崩溃以及可能持久化到磁盘的数据内存损坏。
MongoDB服务器
4.2.0
我们已在MongoDB Compass中识别到一个bug,在特定条件下,通过Compass修改或删除文档可能会发生在预期不同的文档上。
Compass
1.3.x - 1.11.1
在后台索引构建过程中,如果修改包含在索引规范中的字段,则可能在特定情况下导致不匹配的索引条目出现。这会影响使用受影响索引的查询。
索引
3.0
3.2
在数据迁移期间,影响迁移数据块内的数据的插入和更新操作不会反映到接收分片,从而导致数据丢失。
分片
3.0.9
3.0.10
在副本集中,如果复制写入时副节点干净关闭,则节点可能会将某些已复制的操作标记为成功应用,尽管它们尚未应用。
复制
3.2.0
WiredTiger中的竞争条件可能阻止写操作立即对后续读操作可见,这可能导致各种问题,主要影响复制。
WiredTiger
3.0.0 - 3.0.7
启用了均衡器(或存在手动数据块迁移)的分片集群,其中包含可能成为主节点的WiredTiger节点,如果在迁移的数据块上有大量写操作,可能会丢失对该数据块的写入。
分片
3.0.0 - 3.0.3
在VMWare上运行的某些3.x Linux内核,使用由LVM管理的虚拟SCSI磁盘的MongoDB安装可能看到命名空间(.ns)文件损坏。
存储
2.4.11
2.6.4
对文本索引字段的更新可能无法更新文本索引。因此,文本搜索可能无法匹配字段内容,导致搜索结果不正确。
文本搜索
2.4.0 - 2.4.10
2.6.0
在极少数情况下,mongos可能错误地报告写操作为成功。
分片
2.2.0 - 2.2.6
2.4.0 - 2.4.8
在分片集群中的数据块迁移期间,如果数据块中的某个文档的大小在16,776,185到16,777,216字节(包含)之间,则迁移过程中可能会丢失一些文档。
分片
2.2.0 - 2.2.5
2.4.0 - 2.4.4
如果在初始同步期间在同步源上执行写操作,则二级索引(即除_id之外的所有索引)可能在初始同步时损坏。
复制
2.4.0
dbhash结果的缓存可能会导致过时值,这可能导致分片集群配置服务器之间出现不一致。
MongoDB服务器
2.4.7