Luka CVE-2025-14847
Niedawno ujawniona luka w zabezpieczeniach MongoDB jest aktywnie wykorzystywana w atakach w świecie rzeczywistym, narażając dziesiątki tysięcy instancji baz danych na całym świecie. Badacze bezpieczeństwa zidentyfikowali ponad 87 000 potencjalnie podatnych na ataki wdrożeń MongoDB, co sprawia, że problem ten stanowi poważny problem dla organizacji korzystających z MongoDB w środowiskach produkcyjnych.
Spis treści
Zrozumienie CVE-2025-14847
Ta luka o wysokim stopniu zagrożenia, oznaczona numerem CVE-2025-14847 i oceniona na 8,7 w skali CVSS, otrzymała nazwę kodową MongoBleed. Umożliwia ona nieuwierzytelnionym zdalnym atakującym wyciek poufnych danych bezpośrednio z pamięci serwera MongoDB, bez konieczności podawania prawidłowych danych uwierzytelniających ani interakcji użytkownika.
Luka ta może zostać wykorzystana przed uwierzytelnieniem, co znacznie zwiększa jej ryzyko, zwłaszcza w przypadku serwerów MongoDB mających dostęp do Internetu.
Przyczyna główna: nieprawidłowa kompresja biblioteki zlib
Luka wynika z błędu w logice dekompresji wiadomości opartej na zlib w MongoDB Server, a konkretnie w komponencie message_compressor_zlib.cpp. MongoDB domyślnie włącza kompresję zlib, co oznacza, że wiele wdrożeń jest narażonych na ten błąd, chyba że zostaną one celowo przekonfigurowane.
Wysyłając nieprawidłowo sformatowane skompresowane pakiety sieciowe, atakujący może wykorzystać nieprawidłową obsługę zdekompresowanych długości danych. Zamiast zwracać rzeczywisty rozmiar zdekompresowanej zawartości, podatna na atak logika zwraca pełny przydzielony rozmiar bufora. Ten błąd może ujawnić niezainicjowaną pamięć sterty, umożliwiając atakującym pobranie fragmentów sąsiednich poufnych danych.
Co atakujący mogą ukraść
Skuteczne wykorzystanie luki może skutkować ujawnieniem bardzo poufnych informacji przechowywanych w pamięci serwera, w tym rekordów użytkowników, haseł i kluczy API. Chociaż atakujący mogą potrzebować wysłać dużą liczbę żądań, aby odtworzyć istotne dane, a niektóre wyciekłe fragmenty mogą być nieistotne, ryzyko rośnie z czasem. Im dłużej atakujący utrzymuje dostęp, tym więcej danych potencjalnie może zostać zebranych.
Analitycy ds. bezpieczeństwa w chmurze potwierdzają, że atak nie wymaga uwierzytelnienia ani interakcji użytkownika, co sprawia, że serwery MongoDB dostępne z Internetu są szczególnie podatne na atak.
Zakres i globalna ekspozycja
Analiza pokazuje, że dotknięte tym problemem instancje MongoDB są szeroko rozpowszechnione na całym świecie, ze szczególnym uwzględnieniem Stanów Zjednoczonych, Chin, Niemiec, Indii i Francji. Badacze donoszą również, że 42% środowisk chmurowych zawiera co najmniej jedną instancję MongoDB z wersją podatną na lukę CVE-2025-14847, obejmującą zarówno publicznie dostępne systemy, jak i infrastrukturę wewnętrzną.
Dokładne techniki stosowane w kampaniach aktywnej eksploatacji zasobów pozostają obecnie niejasne.
Poprawki, oprogramowanie, którego dotyczą problemy, i szerszy wpływ
MongoDB wydało poprawki w wielu obsługiwanych gałęziach, a poprawki zostały już zastosowane w MongoDB Atlas. Organizacje powinny natychmiast dokonać aktualizacji do jednej z następujących bezpiecznych wersji:
MongoDB 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 lub 4.4.30
Należy również zauważyć, że problem nie dotyczy wyłącznie MongoDB. Luka dotyczy również pakietu rsync w Ubuntu, ze względu na jego zależność od tej samej biblioteki kompresji zlib.
Strategie łagodzenia skutków podczas łatania
W środowiskach, w których nie jest możliwe natychmiastowe zastosowanie poprawek, istnieje kilka tymczasowych środków zaradczych, które mogą znacząco zmniejszyć narażenie:
- Wyłącz kompresję zlib, uruchamiając mongod lub mongos z opcją networkMessageCompressors lub net.compression.compressors skonfigurowaną w celu wykluczenia zlib
- Ogranicz narażenie sieci, ograniczając dostęp do serwerów MongoDB i uważnie monitorując logi pod kątem podejrzanych prób połączeń przed uwierzytelnieniem
Ocena końcowa
MongoBleed stanowi poważne zagrożenie ze względu na łatwość jego wykorzystania, brak wymagań uwierzytelniania i szerokie narażenie na atak. Organizacje korzystające z MongoDB powinny traktować lukę CVE-2025-14847 jako priorytetowy element naprawczy, niezwłocznie wdrażać poprawki i upewnić się, że niepotrzebne narażenie sieci jest eliminowane wszędzie tam, gdzie to możliwe.
