CVE-2025-14847 ਕਮਜ਼ੋਰੀ

ਇੱਕ ਨਵੀਂ ਪ੍ਰਗਟ ਕੀਤੀ ਗਈ MongoDB ਕਮਜ਼ੋਰੀ ਦਾ ਅਸਲ-ਸੰਸਾਰ ਦੇ ਹਮਲਿਆਂ ਵਿੱਚ ਸਰਗਰਮੀ ਨਾਲ ਸ਼ੋਸ਼ਣ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ, ਜਿਸ ਨਾਲ ਦੁਨੀਆ ਭਰ ਵਿੱਚ ਹਜ਼ਾਰਾਂ ਡੇਟਾਬੇਸ ਉਦਾਹਰਣਾਂ ਨੂੰ ਜੋਖਮ ਵਿੱਚ ਪਾਇਆ ਜਾ ਰਿਹਾ ਹੈ। ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ ਨੇ 87,000 ਤੋਂ ਵੱਧ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰ MongoDB ਤੈਨਾਤੀਆਂ ਦੀ ਪਛਾਣ ਕੀਤੀ ਹੈ, ਜਿਸ ਨਾਲ ਇਹ ਮੁੱਦਾ ਉਤਪਾਦਨ ਵਾਤਾਵਰਣ ਵਿੱਚ MongoDB 'ਤੇ ਨਿਰਭਰ ਸੰਗਠਨਾਂ ਲਈ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਚਿੰਤਾ ਦਾ ਵਿਸ਼ਾ ਬਣ ਗਿਆ ਹੈ।

CVE-2025-14847 ਨੂੰ ਸਮਝਣਾ

CVE-2025-14847 ਵਜੋਂ ਟਰੈਕ ਕੀਤਾ ਗਿਆ ਅਤੇ CVSS ਪੈਮਾਨੇ 'ਤੇ 8.7 ਦਰਜਾ ਦਿੱਤਾ ਗਿਆ, ਇਸ ਉੱਚ-ਗੰਭੀਰਤਾ ਵਾਲੀ ਕਮਜ਼ੋਰੀ ਨੂੰ MongoBleed ਕੋਡਨੇਮ ਦਿੱਤਾ ਗਿਆ ਹੈ। ਇਹ ਅਣ-ਪ੍ਰਮਾਣਿਤ ਰਿਮੋਟ ਹਮਲਾਵਰਾਂ ਨੂੰ MongoDB ਸਰਵਰ ਮੈਮੋਰੀ ਤੋਂ ਸਿੱਧਾ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਲੀਕ ਕਰਨ ਦੇ ਯੋਗ ਬਣਾਉਂਦਾ ਹੈ, ਬਿਨਾਂ ਵੈਧ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਜਾਂ ਉਪਭੋਗਤਾ ਇੰਟਰੈਕਸ਼ਨ ਦੀ ਲੋੜ ਦੇ।

ਪ੍ਰਮਾਣੀਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਇਸ ਨੁਕਸ ਦਾ ਫਾਇਦਾ ਉਠਾਇਆ ਜਾ ਸਕਦਾ ਹੈ, ਜੋ ਇਸਦੇ ਜੋਖਮ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਨਾਟਕੀ ਢੰਗ ਨਾਲ ਵਧਾਉਂਦਾ ਹੈ, ਖਾਸ ਕਰਕੇ ਇੰਟਰਨੈੱਟ ਦੇ ਸੰਪਰਕ ਵਿੱਚ ਆਉਣ ਵਾਲੇ ਮੋਂਗੋਡੀਬੀ ਸਰਵਰਾਂ ਲਈ।

ਮੂਲ ਕਾਰਨ: zlib ਸੰਕੁਚਨ ਗਲਤ ਹੋ ਗਿਆ

ਇਹ ਕਮਜ਼ੋਰੀ MongoDB ਸਰਵਰ ਦੇ zlib-ਅਧਾਰਿਤ ਸੁਨੇਹਾ ਡੀਕੰਪ੍ਰੇਸ਼ਨ ਲਾਜਿਕ ਵਿੱਚ ਇੱਕ ਨੁਕਸ ਤੋਂ ਉਤਪੰਨ ਹੁੰਦੀ ਹੈ, ਖਾਸ ਤੌਰ 'ਤੇ message_compressor_zlib.cpp ਕੰਪੋਨੈਂਟ ਦੇ ਅੰਦਰ। MongoDB ਡਿਫੌਲਟ ਰੂਪ ਵਿੱਚ zlib ਕੰਪ੍ਰੈਸ਼ਨ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਂਦਾ ਹੈ, ਜਿਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਬਹੁਤ ਸਾਰੀਆਂ ਤੈਨਾਤੀਆਂ ਪ੍ਰਭਾਵਿਤ ਹੁੰਦੀਆਂ ਹਨ ਜਦੋਂ ਤੱਕ ਸਪਸ਼ਟ ਤੌਰ 'ਤੇ ਮੁੜ ਸੰਰਚਿਤ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ।

ਨੁਕਸਦਾਰ ਸੰਕੁਚਿਤ ਨੈੱਟਵਰਕ ਪੈਕੇਟ ਭੇਜ ਕੇ, ਇੱਕ ਹਮਲਾਵਰ ਡੀਕੰਪ੍ਰੈਸਡ ਡੇਟਾ ਲੰਬਾਈ ਦੇ ਗਲਤ ਪ੍ਰਬੰਧਨ ਦਾ ਫਾਇਦਾ ਉਠਾ ਸਕਦਾ ਹੈ। ਡੀਕੰਪ੍ਰੈਸਡ ਸਮੱਗਰੀ ਦੇ ਅਸਲ ਆਕਾਰ ਨੂੰ ਵਾਪਸ ਕਰਨ ਦੀ ਬਜਾਏ, ਪ੍ਰਭਾਵਿਤ ਤਰਕ ਪੂਰਾ ਨਿਰਧਾਰਤ ਬਫਰ ਆਕਾਰ ਵਾਪਸ ਕਰਦਾ ਹੈ। ਇਹ ਗਲਤੀ ਅਣ-ਸ਼ੁਰੂਆਤੀ ਹੀਪ ਮੈਮੋਰੀ ਨੂੰ ਬੇਨਕਾਬ ਕਰ ਸਕਦੀ ਹੈ, ਜਿਸ ਨਾਲ ਹਮਲਾਵਰਾਂ ਨੂੰ ਨਾਲ ਲੱਗਦੇ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਦੇ ਟੁਕੜਿਆਂ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਆਗਿਆ ਮਿਲਦੀ ਹੈ।

ਹਮਲਾਵਰ ਕੀ ਚੋਰੀ ਕਰ ਸਕਦੇ ਹਨ

ਸਫਲ ਸ਼ੋਸ਼ਣ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਸਰਵਰ ਮੈਮੋਰੀ ਵਿੱਚ ਸਟੋਰ ਕੀਤੀ ਬਹੁਤ ਜ਼ਿਆਦਾ ਸੰਵੇਦਨਸ਼ੀਲ ਜਾਣਕਾਰੀ ਦਾ ਸਾਹਮਣਾ ਕਰਨਾ ਪੈ ਸਕਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ ਉਪਭੋਗਤਾ ਰਿਕਾਰਡ, ਪਾਸਵਰਡ ਅਤੇ API ਕੁੰਜੀਆਂ ਸ਼ਾਮਲ ਹਨ। ਜਦੋਂ ਕਿ ਹਮਲਾਵਰਾਂ ਨੂੰ ਅਰਥਪੂਰਨ ਡੇਟਾ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਉਣ ਲਈ ਵੱਡੀ ਮਾਤਰਾ ਵਿੱਚ ਬੇਨਤੀਆਂ ਭੇਜਣ ਦੀ ਲੋੜ ਹੋ ਸਕਦੀ ਹੈ, ਅਤੇ ਕੁਝ ਲੀਕ ਹੋਏ ਟੁਕੜੇ ਅਪ੍ਰਸੰਗਿਕ ਹੋ ਸਕਦੇ ਹਨ, ਸਮੇਂ ਦੇ ਨਾਲ ਜੋਖਮ ਵਧਦਾ ਜਾਂਦਾ ਹੈ। ਹਮਲਾਵਰ ਜਿੰਨਾ ਜ਼ਿਆਦਾ ਸਮਾਂ ਪਹੁੰਚ ਬਣਾਈ ਰੱਖਦਾ ਹੈ, ਓਨਾ ਹੀ ਜ਼ਿਆਦਾ ਡੇਟਾ ਸੰਭਾਵੀ ਤੌਰ 'ਤੇ ਇਕੱਠਾ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ।

ਕਲਾਉਡ ਸੁਰੱਖਿਆ ਵਿਸ਼ਲੇਸ਼ਕ ਇਸ ਗੱਲ ਦੀ ਪੁਸ਼ਟੀ ਕਰਦੇ ਹਨ ਕਿ ਹਮਲੇ ਲਈ ਕਿਸੇ ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ ਉਪਭੋਗਤਾ ਨਾਲ ਗੱਲਬਾਤ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ, ਜਿਸ ਨਾਲ ਇੰਟਰਨੈੱਟ-ਮੁਖੀ ਮੋਂਗੋਡੀਬੀ ਸਰਵਰ ਖਾਸ ਤੌਰ 'ਤੇ ਕਮਜ਼ੋਰ ਹੋ ਜਾਂਦੇ ਹਨ।

ਸਕੋਪ ਅਤੇ ਗਲੋਬਲ ਐਕਸਪੋਜ਼ਰ

ਵਿਸ਼ਲੇਸ਼ਣ ਦਰਸਾਉਂਦਾ ਹੈ ਕਿ ਪ੍ਰਭਾਵਿਤ MongoDB ਉਦਾਹਰਣਾਂ ਦੁਨੀਆ ਭਰ ਵਿੱਚ ਵਿਆਪਕ ਤੌਰ 'ਤੇ ਵੰਡੀਆਂ ਗਈਆਂ ਹਨ, ਜਿਨ੍ਹਾਂ ਦੀ ਉੱਚ ਇਕਾਗਰਤਾ ਸੰਯੁਕਤ ਰਾਜ, ਚੀਨ, ਜਰਮਨੀ, ਭਾਰਤ ਅਤੇ ਫਰਾਂਸ ਵਿੱਚ ਹੈ। ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਇਹ ਵੀ ਰਿਪੋਰਟ ਕੀਤੀ ਹੈ ਕਿ 42% ਕਲਾਉਡ ਵਾਤਾਵਰਣਾਂ ਵਿੱਚ ਘੱਟੋ-ਘੱਟ ਇੱਕ MongoDB ਉਦਾਹਰਣ ਹੈ ਜੋ CVE-2025-14847 ਲਈ ਕਮਜ਼ੋਰ ਸੰਸਕਰਣ ਚਲਾ ਰਿਹਾ ਹੈ, ਜੋ ਜਨਤਕ ਤੌਰ 'ਤੇ ਸਾਹਮਣੇ ਆਏ ਸਿਸਟਮਾਂ ਅਤੇ ਅੰਦਰੂਨੀ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੋਵਾਂ ਨੂੰ ਫੈਲਾਉਂਦਾ ਹੈ।

ਵਰਤਮਾਨ ਵਿੱਚ, ਸਰਗਰਮ ਸ਼ੋਸ਼ਣ ਮੁਹਿੰਮਾਂ ਵਿੱਚ ਵਰਤੀਆਂ ਜਾਣ ਵਾਲੀਆਂ ਸਹੀ ਤਕਨੀਕਾਂ ਅਸਪਸ਼ਟ ਹਨ।

ਪੈਚ, ਪ੍ਰਭਾਵਿਤ ਸਾਫਟਵੇਅਰ, ਅਤੇ ਵਿਆਪਕ ਪ੍ਰਭਾਵ

MongoDB ਨੇ ਕਈ ਸਮਰਥਿਤ ਸ਼ਾਖਾਵਾਂ ਵਿੱਚ ਫਿਕਸ ਜਾਰੀ ਕੀਤੇ ਹਨ, ਅਤੇ ਪੈਚ ਪਹਿਲਾਂ ਹੀ MongoDB ਐਟਲਸ 'ਤੇ ਲਾਗੂ ਕੀਤੇ ਜਾ ਚੁੱਕੇ ਹਨ। ਸੰਗਠਨਾਂ ਨੂੰ ਤੁਰੰਤ ਹੇਠਾਂ ਦਿੱਤੇ ਸੁਰੱਖਿਅਤ ਸੰਸਕਰਣਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ ਅੱਪਗ੍ਰੇਡ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ:

ਮੋਂਗੋਡੀਬੀ 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32, ਜਾਂ 4.4.30

ਇਹ ਵੀ ਧਿਆਨ ਦੇਣਾ ਮਹੱਤਵਪੂਰਨ ਹੈ ਕਿ ਇਹ ਮੁੱਦਾ ਸਿਰਫ਼ MongoDB ਲਈ ਹੀ ਨਹੀਂ ਹੈ। ਇਹ ਕਮਜ਼ੋਰੀ Ubuntu rsync ਪੈਕੇਜ ਨੂੰ ਵੀ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਉਸੇ zlib ਕੰਪਰੈਸ਼ਨ ਲਾਇਬ੍ਰੇਰੀ 'ਤੇ ਨਿਰਭਰ ਹੈ।

ਪੈਚਿੰਗ ਦੌਰਾਨ ਘਟਾਉਣ ਦੀਆਂ ਰਣਨੀਤੀਆਂ

ਉਹਨਾਂ ਵਾਤਾਵਰਣਾਂ ਲਈ ਜਿੱਥੇ ਤੁਰੰਤ ਪੈਚਿੰਗ ਸੰਭਵ ਨਹੀਂ ਹੈ, ਕਈ ਅਸਥਾਈ ਘਟਾਉਣ ਨਾਲ ਐਕਸਪੋਜਰ ਨੂੰ ਕਾਫ਼ੀ ਹੱਦ ਤੱਕ ਘਟਾ ਸਕਦੇ ਹਨ:

• zlib ਨੂੰ ਬਾਹਰ ਕੱਢਣ ਲਈ ਕੌਂਫਿਗਰ ਕੀਤੇ ਗਏ net.compression.compressors ਵਿਕਲਪ ਨਾਲ mongod ਜਾਂ mongos ਸ਼ੁਰੂ ਕਰਕੇ zlib ਕੰਪਰੈਸ਼ਨ ਨੂੰ ਅਯੋਗ ਕਰੋ।
• MongoDB ਸਰਵਰਾਂ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਕਰਕੇ ਅਤੇ ਸ਼ੱਕੀ ਪੂਰਵ-ਪ੍ਰਮਾਣੀਕਰਨ ਕਨੈਕਸ਼ਨ ਕੋਸ਼ਿਸ਼ਾਂ ਲਈ ਲੌਗਾਂ ਦੀ ਨੇੜਿਓਂ ਨਿਗਰਾਨੀ ਕਰਕੇ ਨੈੱਟਵਰਕ ਐਕਸਪੋਜ਼ਰ ਨੂੰ ਸੀਮਤ ਕਰੋ।

ਅੰਤਿਮ ਮੁਲਾਂਕਣ

MongoBleed ਇਸਦੀ ਵਰਤੋਂ ਦੀ ਸੌਖ, ਪ੍ਰਮਾਣਿਕਤਾ ਲੋੜਾਂ ਦੀ ਘਾਟ, ਅਤੇ ਵਿਆਪਕ ਐਕਸਪੋਜਰ ਦੇ ਕਾਰਨ ਇੱਕ ਗੰਭੀਰ ਖ਼ਤਰਾ ਹੈ। MongoDB ਚਲਾਉਣ ਵਾਲੀਆਂ ਸੰਸਥਾਵਾਂ ਨੂੰ CVE-2025-14847 ਨੂੰ ਇੱਕ ਉੱਚ-ਪ੍ਰਾਥਮਿਕਤਾ ਵਾਲੇ ਉਪਚਾਰ ਵਸਤੂ ਵਜੋਂ ਮੰਨਣਾ ਚਾਹੀਦਾ ਹੈ, ਬਿਨਾਂ ਦੇਰੀ ਦੇ ਪੈਚ ਲਾਗੂ ਕਰਨੇ ਚਾਹੀਦੇ ਹਨ, ਅਤੇ ਇਹ ਯਕੀਨੀ ਬਣਾਉਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਜਿੱਥੇ ਵੀ ਸੰਭਵ ਹੋਵੇ ਬੇਲੋੜੇ ਨੈੱਟਵਰਕ ਐਕਸਪੋਜਰ ਨੂੰ ਖਤਮ ਕੀਤਾ ਜਾਵੇ।