ភាពងាយរងគ្រោះ CVE-2025-14847

ចំណុចខ្សោយរបស់ MongoDB ដែលទើបនឹងត្រូវបានបង្ហាញថ្មីៗនេះ កំពុងត្រូវបានកេងប្រវ័ញ្ចយ៉ាងសកម្មនៅក្នុងការវាយប្រហារក្នុងពិភពពិត ដែលធ្វើឱ្យឧទាហរណ៍មូលដ្ឋានទិន្នន័យរាប់ម៉ឺនកន្លែងប្រឈមនឹងហានិភ័យនៅទូទាំងពិភពលោក។ ក្រុមអ្នកស្រាវជ្រាវសន្តិសុខបានកំណត់អត្តសញ្ញាណការដាក់ពង្រាយ MongoDB ដែលអាចងាយរងគ្រោះជាង 87,000 ដែលធ្វើឱ្យបញ្ហានេះក្លាយជាកង្វល់ដ៏សំខាន់សម្រាប់អង្គការដែលពឹងផ្អែកលើ MongoDB នៅក្នុងបរិយាកាសផលិតកម្ម។

ការយល់ដឹងអំពី CVE-2025-14847

ចំណុចខ្សោយធ្ងន់ធ្ងរនេះត្រូវបានគេតាមដានថាជា CVE-2025-14847 និងទទួលបានចំណាត់ថ្នាក់ 8.7 លើមាត្រដ្ឋាន CVSS ហើយត្រូវបានគេដាក់ឈ្មោះកូដថា MongoBleed។ វាអនុញ្ញាតឱ្យអ្នកវាយប្រហារពីចម្ងាយដែលមិនបានផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវលេចធ្លាយទិន្នន័យរសើបដោយផ្ទាល់ពីអង្គចងចាំម៉ាស៊ីនមេ MongoDB ដោយមិនចាំបាច់មានព័ត៌មានបញ្ជាក់អត្តសញ្ញាណដែលមានសុពលភាព ឬអន្តរកម្មរបស់អ្នកប្រើប្រាស់ឡើយ។

ចំណុចខ្សោយនេះអាចកេងចំណេញបានមុនពេលផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ ដែលបង្កើនហានិភ័យរបស់វាយ៉ាងខ្លាំង ជាពិសេសសម្រាប់ម៉ាស៊ីនមេ MongoDB ដែលប៉ះពាល់នឹងអ៊ីនធឺណិត។

មូលហេតុចម្បង៖ ការបង្ហាប់ zlib ខុស

ចំណុចខ្សោយនេះមានប្រភពមកពីចំណុចខ្វះខាតនៅក្នុងតក្កវិជ្ជា decompression message-based zlib របស់ MongoDB Server ជាពិសេសនៅក្នុងសមាសភាគ message_compressor_zlib.cpp។ MongoDB អនុញ្ញាតឱ្យមានការបង្ហាប់ zlib តាមលំនាំដើម មានន័យថាការដាក់ពង្រាយជាច្រើនត្រូវបានប៉ះពាល់ លុះត្រាតែមានការកំណត់រចនាសម្ព័ន្ធឡើងវិញយ៉ាងច្បាស់លាស់។

តាមរយៈការផ្ញើកញ្ចប់បណ្តាញដែលបានបង្ហាប់ដែលមានទម្រង់មិនត្រឹមត្រូវ អ្នកវាយប្រហារអាចកេងចំណេញពីការដោះស្រាយមិនត្រឹមត្រូវនៃប្រវែងទិន្នន័យដែលបានពន្លា។ ជំនួសឱ្យការប្រគល់ទំហំពិតប្រាកដនៃខ្លឹមសារដែលបានពន្លា តក្កវិជ្ជាដែលរងផលប៉ះពាល់ប្រគល់ទំហំសតិបណ្ដោះអាសន្នដែលបានបែងចែកពេញលេញ។ កំហុសនេះអាចបង្ហាញអង្គចងចាំហ៊ាបដែលមិនទាន់បានចាប់ផ្ដើម ដែលអនុញ្ញាតឱ្យអ្នកវាយប្រហារទាញយកបំណែកនៃទិន្នន័យរសើបដែលនៅជាប់គ្នា។

អ្វីដែលចោរអាចលួចបាន

ការកេងប្រវ័ញ្ចដោយជោគជ័យអាចបណ្តាលឱ្យមានការលាតត្រដាងព័ត៌មានរសើបខ្ពស់ដែលរក្សាទុកក្នុងអង្គចងចាំម៉ាស៊ីនមេ រួមទាំងកំណត់ត្រាអ្នកប្រើប្រាស់ ពាក្យសម្ងាត់ និងកូនសោ API។ ខណៈពេលដែលអ្នកវាយប្រហារអាចត្រូវផ្ញើសំណើមួយចំនួនធំដើម្បីបង្កើតទិន្នន័យដែលមានអត្ថន័យឡើងវិញ ហើយបំណែកដែលលេចធ្លាយមួយចំនួនអាចមិនពាក់ព័ន្ធ ហានិភ័យកើនឡើងតាមពេលវេលា។ អ្នកវាយប្រហារកាន់តែរក្សាការចូលប្រើបានយូរ ទិន្នន័យកាន់តែច្រើនអាចត្រូវបានប្រមូលបាន។

អ្នកវិភាគសុវត្ថិភាព Cloud បញ្ជាក់ថា ការវាយប្រហារនេះមិនតម្រូវឱ្យមានការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ និងគ្មានអន្តរកម្មពីអ្នកប្រើប្រាស់ទេ ដែលធ្វើឱ្យម៉ាស៊ីនមេ MongoDB ដែលភ្ជាប់អ៊ីនធឺណិតងាយរងគ្រោះជាពិសេស។

វិសាលភាព និងការប៉ះពាល់ជាសកល

ការវិភាគបង្ហាញថា ឧទាហរណ៍របស់ MongoDB ដែលរងផលប៉ះពាល់ត្រូវបានចែកចាយយ៉ាងទូលំទូលាយនៅទូទាំងពិភពលោក ដោយមានការប្រមូលផ្តុំខ្ពស់នៅសហរដ្ឋអាមេរិក ចិន អាល្លឺម៉ង់ ឥណ្ឌា និងបារាំង។ អ្នកស្រាវជ្រាវក៏បានរាយការណ៍ផងដែរថា ៤២% នៃបរិស្ថានពពកមានឧទាហរណ៍ MongoDB យ៉ាងហោចណាស់មួយដែលដំណើរការកំណែដែលងាយរងគ្រោះដោយ CVE-2025-14847 ដែលគ្របដណ្តប់ទាំងប្រព័ន្ធដែលបង្ហាញជាសាធារណៈ និងហេដ្ឋារចនាសម្ព័ន្ធផ្ទៃក្នុង។

បច្ចុប្បន្ននេះ បច្ចេកទេសច្បាស់លាស់ដែលប្រើក្នុងយុទ្ធនាការកេងប្រវ័ញ្ចសកម្មនៅតែមិនច្បាស់លាស់។

បំណះ កម្មវិធីដែលរងផលប៉ះពាល់ និងផលប៉ះពាល់កាន់តែទូលំទូលាយ

MongoDB បានចេញផ្សាយការជួសជុលនៅទូទាំងសាខាជាច្រើនដែលគាំទ្រ ហើយបំណះត្រូវបានអនុវត្តរួចហើយចំពោះ MongoDB Atlas។ អង្គការនានាគួរតែធ្វើឱ្យប្រសើរឡើងជាបន្ទាន់ទៅកំណែសុវត្ថិភាពមួយក្នុងចំណោមកំណែសុវត្ថិភាពដូចខាងក្រោម៖

MongoDB 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32, ឬ 4.4.30

វាក៏សំខាន់ផងដែរក្នុងការកត់សម្គាល់ថាបញ្ហានេះមិនមែនផ្តាច់មុខចំពោះ MongoDB នោះទេ។ ចំណុចខ្សោយនេះក៏ប៉ះពាល់ដល់កញ្ចប់ Ubuntu rsync ផងដែរ ដោយសារតែវាពឹងផ្អែកលើបណ្ណាល័យបង្ហាប់ zlib ដូចគ្នា។

យុទ្ធសាស្ត្រកាត់បន្ថយផលប៉ះពាល់ ខណៈពេលកំពុងជួសជុល

ចំពោះបរិស្ថានដែលការបិទភ្ជាប់ភ្លាមៗមិនអាចធ្វើទៅបាន ការកាត់បន្ថយបណ្ដោះអាសន្នមួយចំនួនអាចកាត់បន្ថយការប៉ះពាល់បានយ៉ាងច្រើន៖

• បិទការបង្ហាប់ zlib ដោយចាប់ផ្តើម mongod ឬ mongos ជាមួយជម្រើស networkMessageCompressors ឬ net.compression.compressors ដែលត្រូវបានកំណត់រចនាសម្ព័ន្ធដើម្បីមិនរាប់បញ្ចូល zlib
• កំណត់ការប៉ះពាល់បណ្តាញដោយកំណត់ការចូលប្រើម៉ាស៊ីនមេ MongoDB និងតាមដានកំណត់ហេតុយ៉ាងដិតដល់សម្រាប់ការប៉ុនប៉ងភ្ជាប់ជាមុនដែលគួរឱ្យសង្ស័យ។

ការវាយតម្លៃចុងក្រោយ

MongoBleed តំណាងឱ្យការគំរាមកំហែងធ្ងន់ធ្ងរមួយ ដោយសារតែភាពងាយស្រួលនៃការកេងប្រវ័ញ្ច កង្វះតម្រូវការផ្ទៀងផ្ទាត់ និងការប៉ះពាល់យ៉ាងទូលំទូលាយ។ អង្គការដែលដំណើរការ MongoDB គួរតែចាត់ទុក CVE-2025-14847 ជាធាតុជួសជុលដែលមានអាទិភាពខ្ពស់ អនុវត្តបំណះភ្លាមៗ និងធានាថាការប៉ះពាល់បណ្តាញដែលមិនចាំបាច់ត្រូវបានលុបចោលគ្រប់ទីកន្លែងដែលអាចធ្វើទៅបាន។