Security fix for CVE-2016-6494.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

CVE-2016-6494のセキュリティ修正。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

远程 MongoDB 服务器的版本为 2.x、3.x < 3.0.15、3.2.x < 3.2.14、3.3.x < 3.3.14。因此，该服务器受到 mongo shell 中的信息泄露影响，这是因为 MongoDB 客户端对 .dbshell 历史文件拥有全局可读权限。未经身份验证的本地攻击者可读取上述文件，进而利用此漏洞，泄露潜在的敏感信息。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

遠端 MongoDB 伺服器的版本為 2.x、3.0.15 之前的 3.x、3.2.14 之前的 3.2.x、3.3.14 之前的 3.3.x。因此，該伺服器受到 mongo shell 中的資訊洩漏影響，這是 MongoDB 用戶端對 .dbshell 歷史檔案擁有任何人皆可讀取之權限所致。經驗證的本機攻擊者可利用此弱點，洩漏潛在敏感資訊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

The version of the remote MongoDB server is 2.x, 3.x < 3.0.15, 3.2.x < 3.2.14, 3.3.x < 3.3.14. It is, therefore, affected by an information disclosure in mongo shell due to the MongoDB client having world-readable permissions on .dbshell history files. An unauthenticated, local attacker can exploit this by reading these files to disclose potentially sensitive information.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

This is an update of DLA-588-1. The previous build had revision number that was considered lower than the one in wheezy and was therefore not installed at upgrade.

The text for DLA-588-1 is included here for reference (with some improvement).

Two security related problems have been found in the mongodb package, both related to logging.

CVE-2016-6494 World-readable .dbshell history file

Debian Bug 833087 Bruteforcable challenge responses in unprotected logfile

For Debian 7 'Wheezy', these problems have been fixed in version 2.0.6-1.1+deb7u1.

We recommend that you upgrade your mongodb packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The client in MongoDB uses world-readable permissions on .dbshell history files, which might allow local     users to obtain sensitive information by reading these files. (CVE-2016-6494)

Note that Nessus relies on the presence of the package as reported by the vendor.

これは DLA-588-1 の更新です。以前のビルドに、wheezy でのリビジョン番号よりも低いと見なされるものがあったため、アップグレード時にそのビルドはインストールされませんでした。

DLA-588-1 向けの（一部の改善と）参照用のテキストがここに含まれています。

mongodb パッケージに、セキュリティに関連する 2 つの（ロギング関連の）問題が見つかりました。

CVE-2016-6494 誰でも読み取れる dbshell の履歴ファイル

Debian バグ 833087 保護されていないログファイルでのブルートフォース可能なチャレンジ応答

Debian 7「Wheezy」では、これらの問題はバージョン 2.0.6-1.1+deb7u1 で修正されました。

mongodb パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - MongoDB のクライアントは、.dbshell の履歴ファイルで誰でも読み取れる権限を使用しているため、ローカルのユーザーが、これらのファイルを読み取ることにより、機密情報を入手する可能性があります。CVE-2016-6494

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのMongoDBサーバーのバージョンは、2.x、3.x（3.0.15より前）、3.2.x（3.2.14より前）、3.3.x（3.3.14より前）です。したがって、MongoDBクライアントは.dbshell履歴ファイルに対する「誰でも読み取り可能な」権限を持っているので、mongoシェルの情報漏えいの影響を受けます。認証されていないローカルの攻撃者がこれを悪用し、これらのファイルを読み取って秘密情報を漏えいさせる可能性があります。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - MongoDB 中的用戶端對 .dbshell 歷程記錄檔案使用任何人皆可讀取的權限進而可能允許本機使用者藉由讀取這些檔案取得敏感資訊。 (CVE-2016-6494)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

這是 DLA-588-1 的更新。先前版本擁有的修訂編號被視為比 wheezy 中的編號更小，因此在升級時未安裝。

此處包含適用於 DLA-588-1 的文字供參考 (含部分改善)。

在 mongodb 套件中發現兩個安全性相關問題，皆與記錄有關。

CVE-2016-6494 任何人皆可讀取的 .dbshell history 檔案

Debian 錯誤 833087 Bruteforcable 測驗未受保護的記錄檔中的回應

針對 Debian 7「Wheezy」，這些問題已在 2.0.6-1.1+deb7u1 版本中修正。

建議您升級 mongodb 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

这是 DLA-588-1 的更新。发现先前版本的修订编号低于 wheezy 中的编号，因此在升级时未安装。

此处包含适用于 DLA-588-1 的文本以供参考（含一些改进）。

在 mongodb 程序包中发现两个安全相关问题，皆与记录有关。

CVE-2016-6494 全局可读的 .dbshell history 文件

Debian 缺陷 833087 Bruteforcable 质询未受保护的日志文件中的响应

对于 Debian 7“Wheezy”，这些问题已在 2.0.6-1.1+deb7u1 版本中修复。

建议您升级 mongodb 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - MongoDB 中的客户端在 .dbshell 历史文件上使用全局可读权限这可能允许本地用户通过读取这些文件来获取敏感信息。 (CVE-2016-6494)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
93879	Fedora 23 : mongodb (2016-4cedbd4308)	Nessus	Fedora Local Security Checks	2016/10/6	2021/1/11	medium
93879	Fedora 23：mongodb（2016-4cedbd4308）	Nessus	Fedora Local Security Checks	2016/10/6	2021/1/11	medium
94839	Fedora 25 : mongodb (2016-9a8e2bbc04)	Nessus	Fedora Local Security Checks	2016/11/15	2021/1/11	medium
135921	MongoDB 2.x, 3.0.x < 3.0.15, 3.1.x < 3.2.14, 3.3.x < 3.3.14 Mongo Shell 信息泄露漏洞 (SERVER-25335)	Nessus	Databases	2020/4/23	2022/12/20	medium
135921	MongoDB 2.x、3.0.x < 3.0.15、3.1.x < 3.2.14、3.3.x < 3.3.14 Mongo Shell 資訊洩漏弱點 (SERVER-25335)	Nessus	Databases	2020/4/23	2022/12/20	medium
94839	Fedora 25：mongodb（2016-9a8e2bbc04）	Nessus	Fedora Local Security Checks	2016/11/15	2021/1/11	medium
135921	MongoDB 2.x, 3.0.x < 3.0.15, 3.1.x < 3.2.14, 3.3.x < 3.3.14 Mongo Shell Information Disclosure Vulnerability (SERVER-25335)	Nessus	Databases	2020/4/23	2022/12/20	medium
93901	Fedora 24 : mongodb (2016-89060100d7)	Nessus	Fedora Local Security Checks	2016/10/7	2021/1/11	medium
92793	Debian DLA-588-2 : mongodb security update	Nessus	Debian Local Security Checks	2016/8/9	2021/1/11	medium
261411	Linux Distros Unpatched Vulnerability : CVE-2016-6494	Nessus	Misc.	2025/9/5	2025/9/5	medium
92793	Debian DLA-588-2：mongodb セキュリティ更新	Nessus	Debian Local Security Checks	2016/8/9	2021/1/11	medium
261411	Linux Distros のパッチ未適用の脆弱性: CVE-2016-6494	Nessus	Misc.	2025/9/5	2025/9/5	medium
93901	Fedora 24：mongodb（2016-89060100d7）	Nessus	Fedora Local Security Checks	2016/10/7	2021/1/11	medium
135921	MongoDB 2.x、3.0.x < 3.0.15、3.1.x < 3.2.14、3.3.x < 3.3.14 Mongo Shell の情報漏洩の脆弱性 (SERVER-25335)	Nessus	Databases	2020/4/23	2022/12/20	medium
261411	Linux Distros 未修補的弱點：CVE-2016-6494	Nessus	Misc.	2025/9/5	2025/9/5	medium
92793	Debian DLA-588-2：mongodb 安全性更新	Nessus	Debian Local Security Checks	2016/8/9	2021/1/11	medium
92793	Debian DLA-588-2：mongodb 安全更新	Nessus	Debian Local Security Checks	2016/8/9	2021/1/11	medium
261411	Linux Distros 未修补的漏洞：CVE-2016-6494	Nessus	Misc.	2025/9/5	2025/9/5	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium