Vulnerabilitate CVE-2025-14847

O vulnerabilitate MongoDB recent dezvăluită este exploatată activ în atacuri din lumea reală, punând în pericol zeci de mii de instanțe de baze de date la nivel mondial. Cercetătorii în domeniul securității au identificat peste 87.000 de implementări MongoDB potențial vulnerabile, ceea ce face ca această problemă să fie o preocupare semnificativă pentru organizațiile care se bazează pe MongoDB în mediile de producție.

Înțelegerea CVE-2025-14847

Urmărită ca CVE-2025-14847 și evaluată cu 8,7 pe scara CVSS, această vulnerabilitate de severitate ridicată a fost denumită în cod MongoBleed. Permite atacatorilor la distanță neautentificați să scurgă date sensibile direct din memoria serverului MongoDB, fără a necesita acreditări valide sau interacțiunea utilizatorului.

Defectul poate fi exploatat înainte de autentificare, ceea ce îi crește dramatic profilul de risc, în special pentru serverele MongoDB expuse la internet.

Cauza principală: Compresia zlib a funcționat greșit

Vulnerabilitatea provine dintr-o eroare în logica de decompresie a mesajelor bazată pe zlib a serverului MongoDB, în special în componenta message_compressor_zlib.cpp. MongoDB activează compresia zlib în mod implicit, ceea ce înseamnă că multe implementări sunt afectate dacă nu sunt reconfigurate explicit.

Prin trimiterea de pachete de rețea comprimate incorect, un atacator poate exploata gestionarea incorectă a lungimilor datelor decomprimate. În loc să returneze dimensiunea reală a conținutului decomprimat, logica afectată returnează dimensiunea completă alocată a bufferului. Această greșeală poate expune memoria heap neinițializată, permițând atacatorilor să recupereze fragmente de date sensibile adiacente.

Ce pot fura atacatorii

Exploatarea cu succes poate duce la expunerea informațiilor extrem de sensibile stocate în memoria serverului, inclusiv înregistrări ale utilizatorilor, parole și chei API. Deși atacatorii pot fi nevoiți să trimită un volum mare de solicitări pentru a reconstrui date semnificative, iar unele fragmente scurse pot fi irelevante, riscul crește în timp. Cu cât un atacator menține accesul mai mult timp, cu atât mai multe date pot fi colectate.

Analiștii în domeniul securității în cloud confirmă că atacul nu necesită autentificare și nici interacțiune cu utilizatorul, ceea ce face ca serverele MongoDB conectate la internet să fie deosebit de vulnerabile.

Domeniu de aplicare și expunere globală

Analizele arată că instanțele MongoDB afectate sunt distribuite pe scară largă pe tot globul, cu o concentrare mare în Statele Unite, China, Germania, India și Franța. Cercetătorii raportează, de asemenea, că 42% din mediile cloud conțin cel puțin o instanță MongoDB care rulează o versiune vulnerabilă la CVE-2025-14847, acoperind atât sistemele expuse public, cât și infrastructura internă.

În prezent, tehnicile precise utilizate în campaniile de exploatare activă rămân neclare.

Patch-uri, software afectat și impact mai larg

MongoDB a lansat remedieri pentru mai multe ramuri acceptate, iar patch-uri au fost deja aplicate la MongoDB Atlas. Organizațiile ar trebui să facă upgrade imediat la una dintre următoarele versiuni securizate:

MongoDB 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 sau 4.4.30

De asemenea, este important de menționat că problema nu este exclusivă pentru MongoDB. Vulnerabilitatea afectează și pachetul rsync din Ubuntu, datorită dependenței sale de aceeași bibliotecă de compresie zlib.

Strategii de atenuare în timpul aplicării patch-urilor

Pentru mediile în care aplicarea imediată a corecțiilor nu este fezabilă, există câteva măsuri temporare de atenuare a riscului care pot reduce semnificativ expunerea:

• Dezactivați compresia zlib pornind mongod sau mongos cu opțiunea networkMessageCompressors sau net.compression.compressors configurată pentru a exclude zlib
• Limitați expunerea rețelei prin restricționarea accesului la serverele MongoDB și monitorizarea atentă a jurnalelor pentru încercări suspecte de conectare pre-autentificare.

Evaluare finală

MongoBleed reprezintă o amenințare serioasă din cauza ușurinței sale de exploatare, a lipsei cerințelor de autentificare și a expunerii pe scară largă. Organizațiile care utilizează MongoDB ar trebui să trateze CVE-2025-14847 ca pe un element de remediere cu prioritate ridicată, să aplice patch-uri fără întârziere și să se asigure că expunerea inutilă a rețelei este eliminată ori de câte ori este posibil.