| घटक | मान | अर्थ |
|------------|---------|---------|
| AV (Attack Vector) | **Network (N)** | नेटवर्क के माध्यम से दूरस्थ शोषण |
| AC (Attack Complexity) | **Low (L)** | कोई विशेष शर्त आवश्यक नहीं |
| AT (Attack Requirements) | **None (N)** | कोई पूर्वापेक्षा आवश्यक नहीं |
| PR (Privileges Required) | **Low (L)** | केवल लेखन अधिकार वाले उपयोगकर्ता की आवश्यकता |
| UI (User Interaction) | **None (N)** | पीड़ित की सहभागिता आवश्यक नहीं |
| VC/VI/VA (Vulnerable System) | **High / High / High** | संपूर्ण CIA ट्रायड प्रभावित |
| SC/SI/SA (Subsequent System) | **None** | अन्य सिस्टम पर कोई प्रभाव नहीं |

---

## निवारण मार्गदर्शन

### 1. मुख्य उपाय: MongoDB सर्वर अपग्रेड करें

यह **एकमात्र और पूर्ण** उपाय है। MongoDB सर्वर को संबंधित पैच किए गए संस्करण में अपग्रेड करें:```bash
# Kiểm tra phiên bản hiện tại
mongod --version

# Debian/Ubuntu — nâng cấp qua APT
sudo apt update
sudo apt install -y mongodb-org=<phiên-bản-đã-vá>

# RHEL/CentOS/Rocky — nâng cấp qua YUM/DNF
sudo yum update mongodb-org-<phiên-bản-đã-vá>

# Docker — pull image mới
docker pull mongo:<phiên-bản-đã-vá>

---

## स्कैनिंग टूल: `CVE-2026-8053-MongoDB-Fixed.sh`

बैश स्क्रिप्ट स्वचालित रूप से स्कैन करती है और आकलन करती है कि MongoDB सर्वर CVE-2026-8053 से प्रभावित है या नहीं। स्क्रिप्ट को **production** पर सुरक्षित रूप से चलाने के लिए डिज़ाइन किया गया है — सभी ऑपरेशन **read-only** मोड में होते हैं, MongoDB में कोई डेटा नहीं लिखा जाता।

### मुख्य विशेषताएँ

| सुविधा | विवरण |
|-----------|-------|
| इंस्टॉलेशन का पता लगाना | स्वचालित रूप से `mongod` और शेल (`mongosh`/`mongo`) का पथ ढूँढता है |
| संस्करण तुलना | स्थापित संस्करण की तुलना प्रभावित सूची (6 शाखाओं) से करता है |
| EOL पहचान | चेतावनी देता है यदि MongoDB जीवन-समाप्त शाखा (4.4 या उससे नीचे) में है |
| टाइम-सीरीज़ स्कैन | पूरे क्लस्टर में सभी time-series collections की सूची बनाता है |
| अनुमति जाँच | लिखने की अनुमति वाले उपयोगकर्ताओं की सूची — भेद्यता का फायदा उठाने के लक्ष्य |
| सुरक्षा जाँच | `authorization`, `bindIp`, `TLS/SSL` कॉन्फ़िगरेशन का मूल्यांकन करता है |
| रेप्लिका सेट समर्थन | कनेक्शन स्ट्रिंग `mongodb://host:port/?replicaSet=name` के माध्यम से कनेक्ट होता है |
| विविध आउटपुट | सामान्य मोड (रंग), quiet (exit code), JSON (CI/CD) |
| पूर्ण सुरक्षित | **0 लेखन ऑपरेशन** — सभी MongoDB कमांड read-only हैं |

### सिस्टम आवश्यकताएँ

| आवश्यकता | विवरण |
|----------|----------|
| ऑपरेटिंग सिस्टम | Linux (Ubuntu, Debian, RHEL, CentOS, Rocky, Alma, आदि) |
| Bash | ≥ 4.0 (associative array समर्थन) |
| MongoDB शेल | `mongosh` (अनुशंसित) या `mongo` (legacy) |
| OS अनुमतियाँ | `sudo` / `root` (कॉन्फ़िगरेशन फ़ाइल `/etc/mongod.conf` पढ़ने के लिए) |
| MongoDB अनुमतियाँ | उपयोगकर्ता के पास `system.users` पढ़ने और `listDatabases` चलाने की अनुमति |

### कमांड-लाइन पैरामीटर (CLI Options)

| लघु विकल्प | दीर्घ विकल्प | पैरामीटर | डिफ़ॉल्ट | विवरण |
|-------------|------------|---------|----------|-------|
| `-h` | `--help` | — | — | सहायता दिखाएँ और बाहर निकलें |
| `-q` | `--quiet` | — | `false` | केवल मुख्य परिणाम दिखाएँ, स्थिति निर्धारित करने के लिए exit code उपयोग करें |
| `-j` | `--json` | — | `false` | परिणाम JSON प्रारूप में आउटपुट करें (CI/CD पाइपलाइन के लिए उपयुक्त) |
| `-H` | `--host` | `HOST` | `localhost` | MongoDB सर्वर का पता |
| `-P` | `--port` | `PORT` | `27017` | MongoDB पोर्ट |
| `-u` | `--user` | `USER` | `super_admin` | MongoDB लॉगिन नाम |
| `-p` | `--pass` | `PASS` | *(आंतरिक डिफ़ॉल्ट मान)* | MongoDB पासवर्ड |
| `-r` | `--replica-set` | `NAME` | `rs_cams` | रेप्लिका सेट का नाम (यदि कोई हो) |
| — | `--auth-db` | `DB` | `admin` | प्रमाणीकरण डेटाबेस |
| — | `--no-color` | — | `false` | आउटपुट में ANSI रंग बंद करें |

### 6-चरणीय स्कैन प्रक्रिया

स्क्रिप्ट क्रमिक रूप से 6 चरण निष्पादित करती है। प्रत्येक चरण में स्थिति लॉग `[INFO]` / `[OK]` / `[WARN]` / `[ERROR]` होता है।```
Bước 1: Phát hiện MongoDB installation
  ├─ Tìm mongod trong $PATH
  ├─ Duyệt các thư mục phổ biến:
  │   /usr/bin, /usr/local/bin, /opt/mongodb/bin, /usr/lib/mongodb, /snap/bin
  └─ Thất bại → exit 0 (không cài đặt = không bị ảnh hưởng)

Bước 2: Lấy phiên bản MongoDB
  ├─ Chạy: mongod --version
  ├─ Parse output: "db version v6.0.15" → "6.0.15"
  └─ Thất bại → exit 2 (lỗi không xác định)

Bước 3: So sánh phiên bản với danh sách bị ảnh hưởng
  ├─ Tách major.minor.patch bằng regex
  ├─ Kiểm tra EOL (4.4, 4.2, 4.0, 3.6, ...)
  ├─ Đối chiếu với bảng PATCHED_VERSIONS:
  │   ┌────────────┬──────────────┬────────┐
  │   │ Nhánh      │ Ngưỡng vá    │ Ví dụ  │
  │   ├────────────┼──────────────┼────────┤
  │   │ 5.0        │ patch ≥ 33   │ 5.0.33 │
  │   │ 6.0        │ patch ≥ 28   │ 6.0.28 │
  │   │ 7.0        │ patch ≥ 34   │ 7.0.34 │
  │   │ 8.0        │ patch ≥ 23   │ 8.0.23 │
  │   │ 8.2        │ patch ≥ 9    │ 8.2.9  │
  │   │ 8.3        │ patch ≥ 2    │ 8.3.2  │
  │   └────────────┴──────────────┴────────┘
  ├─ Nhánh ≥ 8.4 → mặc định AN TOÀN
  └─ Kết quả: SAFE | VULNERABLE | EOL | UNKNOWN

Bước 4: Kiểm tra trạng thái mongod
  ├─ pgrep -x mongod
  ├─ systemctl is-active mongod
  ├─ ss / netstat kiểm tra port đang listen
  └─ Kết quả: đang chạy / không chạy

Bước 5: Kiểm tra time-series collections & quyền người dùng
  │ (chỉ thực hiện nếu mongod đang chạy và kết nối được)
  ├─ check_timeseries_collections():
  │   ├─ listDatabases → lấy danh sách tất cả database
  │   ├─ getCollectionInfos({ type: "timeseries" }) → từng database
  │   └─ Output: JSON array [{ database, collection, timeseries }]
  │
  ├─ check_user_privileges():
  │   ├─ Đọc admin.system.users
  │   ├─ Lọc user có role ghi: readWrite, dbOwner, root,
  │   │   readWriteAnyDatabase, dbAdmin, userAdmin, backup,
  │   │   restore, clusterAdmin, hostManager, __system
  │   ├─ Output: JSON array [{ user, database, roles }]
  │   └─ Đây là những user CÓ THỂ khai thác lỗ hổng
  │
  └─ Kết nối thất bại → gợi ý dùng -u -p để xác thực

Bước 6: Kiểm tra cấu hình bảo mật
  ├─ Tìm file mongod.conf (/etc/mongod.conf, /etc/mongodb.conf, ...)
  ├─ Fallback: đọc /proc/<pid>/cmdline nếu không tìm thấy file
  ├─ Kiểm tra 3 hạng mục:
  │   ├─ authorization: enabled  → [OK] / [WARN]
  │   ├─ bindIp: 127.0.0.1       → [OK] / [WARN] (public)
  │   └─ TLS/SSL: requireTLS     → [OK] / [WARN]
  └─ Kết quả: "OK" hoặc danh sách vấn đề (authorization_disabled, ...)

ANSI रंगों के साथ पूर्ण आउटपुट: बैनर, चरण-दर-चरण लॉग, सारांश तालिका, विस्तृत अनुशंसाएँ।```
==============================================
  CVE-2026-8053 Scanner v1.0.0
  CVE-2026-8053: FlatBSON Duplicate Field Index Drift
  Ngay quet: 2026-05-18 14:30:00
==============================================

[INFO] Buoc 1/6: Phat hien MongoDB installation...
[OK] Tim thay mongod tai: /usr/bin/mongod
[INFO] Buoc 2/6: Kiem tra phien ban MongoDB...
[INFO] Phien ban cai dat: 7.0.32
[INFO] Buoc 3/6: So sanh voi danh sach phien ban bi anh huong...
[ERROR] MongoDB 7.0.32 BI ANH HUONG boi CVE-2026-8053 — CAN NANG CAP NGAY!
...

==============================================
  KET QUA QUET
==============================================

  Phien ban MongoDB       : 7.0.32
  mongod dang chay        : Co
  Replica Set             : rs_cams
  Trang thai CVE-2026-8053: NGUY HIEM — CO LO HONG

==============================================
  KHUYEN NGHI
==============================================

  [!!!] HANH DONG KHAN CAP:
  1. Nang cap MongoDB Server NGAY LAP TUC len phien ban da va:
     -> Nang cap len 7.0.34 hoac moi hon
  ...

केवल `[ERROR]` / `[WARN]` / `[OK]` पंक्तियाँ प्रदर्शित करता है — त्वरित जाँच के लिए उपयुक्त। केवल **exit code** पर निर्भर रहें:

| Exit Code | अर्थ | क्रिया |
|-----------|---------|-----------|
| `0` | **सुरक्षित** — MongoDB पैच किया गया है | कुछ करने की आवश्यकता नहीं |
| `1` | **खतरनाक** — भेद्यता मौजूद है | तुरंत अपग्रेड करें |
| `2` | **EOL / त्रुटि** — संस्करण जीवनचक्र समाप्त या पहचान त्रुटि | आपातकालीन अपग्रेड करें |

#### 3. JSON मोड (`-j`)```bash
sudo bash CVE-2026-8053-MongoDB-Fixed.sh -j -q

### सुरक्षा आश्वासन — Read-Only

स्क्रिप्ट **MongoDB क्लस्टर पर कोई भी लेखन ऑपरेशन नहीं करती**। उपयोग किए गए सभी MongoDB कमांड निम्नलिखित हैं:

| कमांड | उद्देश्य | प्रकार |
|------|----------|------|
| `db.version()` | कनेक्शन + रनटाइम संस्करण की जाँच करें | **Read** |
| `adminCommand({ listDatabases: 1, nameOnly: true })` | डेटाबेस नामों की सूची बनाएँ | **Read** (Admin Command) |
| `db.getCollectionInfos({ type: "timeseries" })` | कलेक्शन मेटाडेटा प्राप्त करें | **Read** |
| `admin.system.users.find({})` | उपयोगकर्ताओं और भूमिकाओं की सूची पढ़ें | **Read** (System Collection) |

कोई `insert`, `update`, `delete`, `createCollection`, `drop`, `grantRolesToUser`, `replSetReconfig`, या कोई अन्य लेखन कमांड नहीं है। **यह स्क्रिप्ट प्रोडक्शन क्लस्टर पर चलाने के लिए सुरक्षित है।**

### उपयोग उदाहरण```bash
# 1. Quét cơ bản trên localhost (yêu cầu sudo để đọc /etc/mongod.conf)
sudo bash CVE-2026-8053-MongoDB-Fixed.sh

# 2. Quét với thông tin xác thực tùy chỉnh
sudo bash CVE-2026-8053-MongoDB-Fixed.sh \
  -H 10.0.0.5 -P 27017 \
  -u myadmin -p 'MyStr0ngP@ss'

# 3. Quét replica set với auth
sudo bash CVE-2026-8053-MongoDB-Fixed.sh \
  -H 10.0.0.5 -P 27017 \
  -u app_user -p 'pass123' \
  -r rs_production

# 4. Chỉ lấy exit code, không hiển thị log (dùng trong script)
sudo bash CVE-2026-8053-MongoDB-Fixed.sh -q
if [ $? -eq 0 ]; then
    echo "MongoDB an toan"
else
    echo "CAN NANG CAP MongoDB NGAY!"
fi

# 5. Output JSON cho CI/CD pipeline
sudo bash CVE-2026-8053-MongoDB-Fixed.sh -q -j > scan_result.json

# 6. Dùng jq để trích xuất thông tin từ JSON
sudo bash CVE-2026-8053-MongoDB-Fixed.sh -q -j | jq -r '.mongodb.status'
sudo bash CVE-2026-8053-MongoDB-Fixed.sh -q -j | jq '.risky_users | length'

# 7. Tích hợp vào cron job (quét hàng ngày lúc 7h sáng)
# Thêm vào /etc/cron.d/mongodb-cve-scan:
# 0 7 * * * root /opt/scripts/CVE-2026-8053-MongoDB-Fixed.sh -q -j | \
#   tee /var/log/mongodb-cve-scan/$(date +\%Y\%m\%d).json

---

## वास्तविक प्रभाव

| पहलू | मूल्यांकन |
|-----------|----------|
| **एक्सप्लॉइट की उपलब्धता** | कोई सार्वजनिक PoC नहीं (प्रकाशन के समय) |
| **शोषण की कठिनाई** | मध्यम — FlatBSON internals की गहरी समझ आवश्यक |
| **प्रभाव का दायरा** | सभी MongoDB सर्वर जो time-series collections तैनात करते हैं |
| **उच्च जोखिम वाले लक्ष्य** | ऐसे सिस्टम जो कई उपयोगकर्ताओं को लिखने की अनुमति देते हैं, MongoDB इंटरनेट पर उजागर |

---

## समयरेखा

| तिथि | घटना |
|------|---------|
| 06/05/2026 | CVE आरक्षित किया गया |
| 12/05/2026 | MongoDB ने advisory प्रकाशित की और पैच जारी किया |
| 12/05/2026 | GitHub Advisory (GHSA-pr63-cc36-q84h) प्रकाशित हुई |
| 13/05/2026 | NVD, Tenable, Snyk, Debian Security Tracker पर अपडेट |

---

## संदर्भ सामग्री

- [MongoDB Jira — SERVER-126021](https://jira.mongodb.org/browse/SERVER-126021)
- [NVD — CVE-2026-8053](https://nvd.nist.gov/vuln/detail/CVE-2026-8053)
- [GitHub Advisory — GHSA-pr63-cc36-q84h](https://github.com/advisories/ghsa-pr63-cc36-q84h)
- [MongoDB Community Forum — Important patch May 2026](https://www.mongodb.com/community/forums/t/important-mongodb-patch-available-may-2026/339172)
- [Tenable — CVE-2026-8053](https://www.tenable.com/cve/CVE-2026-8053)
- [Snyk — SNYK-UNMANAGED-MONGODB-16678063](https://security.snyk.io/vuln/SNYK-UNMANAGED-MONGODB-16678063)
- [Debian Security Tracker — CVE-2026-8053](https://security-tracker.debian.org/tracker/CVE-2026-8053)
- [Cyber Security News — Critical MongoDB RCE](https://cybersecuritynews.com/mongodb-rce-vulnerability/)