Ranljivost CVE-2025-14847

Novo odkrita ranljivost MongoDB se aktivno izkorišča v napadih v resničnem svetu, zaradi česar so po vsem svetu ogrožene več deset tisoč primerkov baz podatkov. Varnostni raziskovalci so odkrili več kot 87.000 potencialno ranljivih uvedb MongoDB, zaradi česar je ta težava pomembna za organizacije, ki se v produkcijskih okoljih zanašajo na MongoDB.

Razumevanje CVE-2025-14847

Ta ranljivost z visoko stopnjo resnosti, ki je bila označena kot CVE-2025-14847 in ocenjena z 8,7 na lestvici CVSS, je dobila kodno ime MongoBleed. Neoverjenim oddaljenim napadalcem omogoča uhajanje občutljivih podatkov neposredno iz pomnilnika strežnika MongoDB, ne da bi pri tem potrebovali veljavne poverilnice ali interakcijo uporabnika.

Napaka je izkoriščena pred preverjanjem pristnosti, kar dramatično poveča njen profil tveganja, zlasti za strežnike MongoDB, ki so izpostavljeni internetu.

Osnovni vzrok: stiskanje zlib je šlo narobe

Ranljivost izvira iz napake v logiki dekompresije sporočil, ki temelji na zlib-u, v programu MongoDB Server, zlasti znotraj komponente message_compressor_zlib.cpp. MongoDB privzeto omogoča stiskanje zlib, kar pomeni, da je prizadetih veliko uvajanj, razen če so izrecno prekonfigurirana.

Z pošiljanjem napačno oblikovanih stisnjenih omrežnih paketov lahko napadalec izkoristi nepravilno ravnanje z dolžinami dekomprimiranih podatkov. Namesto dejanske velikosti dekomprimirane vsebine prizadeta logika vrne celotno dodeljeno velikost medpomnilnika. Ta napaka lahko razkrije neinicializiran pomnilnik kopice, kar napadalcem omogoča pridobivanje fragmentov sosednjih občutljivih podatkov.

Kaj lahko napadalci ukradejo

Uspešna izkoriščanje lahko povzroči razkritje zelo občutljivih informacij, shranjenih v pomnilniku strežnika, vključno z uporabniškimi zapisi, gesli in ključi API. Čeprav bodo napadalci morda morali poslati veliko količino zahtev za rekonstrukcijo pomembnih podatkov in so nekateri razkriti fragmenti morda nepomembni, se tveganje sčasoma stopnjuje. Dlje ko ima napadalec dostop, več podatkov je mogoče pridobiti.

Analitiki za varnost v oblaku potrjujejo, da napad ne zahteva preverjanja pristnosti in interakcije z uporabnikom, zaradi česar so strežniki MongoDB, ki so povezani z internetom, še posebej ranljivi.

Obseg in globalna izpostavljenost

Analiza kaže, da so prizadeti primerki MongoDB široko razširjeni po vsem svetu, z visoko koncentracijo v Združenih državah Amerike, na Kitajskem, v Nemčiji, Indiji in Franciji. Raziskovalci poročajo tudi, da 42 % oblačnih okolij vsebuje vsaj en primerek MongoDB, ki izvaja različico, ranljivo za CVE-2025-14847, in sicer tako v javno izpostavljenih sistemih kot v notranji infrastrukturi.

Trenutno natančne tehnike, ki se uporabljajo v kampanjah aktivnega izkoriščanja, ostajajo nejasne.

Popravki, prizadeta programska oprema in širši vpliv

MongoDB je izdal popravke v več podprtih vejah, popravki pa so že bili uporabljeni za MongoDB Atlas. Organizacije naj takoj nadgradijo na eno od naslednjih varnih različic:

MongoDB 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 ali 4.4.30

Pomembno je tudi omeniti, da težava ni značilna samo za MongoDB. Ranljivost vpliva tudi na paket Ubuntu rsync, saj se zanaša na isto knjižnico za stiskanje zlib.

Strategije za ublažitev med nameščanjem popravkov

V okoljih, kjer takojšnja namestitev popravkov ni izvedljiva, lahko več začasnih ukrepov znatno zmanjša izpostavljenost:

• Onemogočite stiskanje zlib tako, da zaženete mongod ali mongos z možnostjo networkMessageCompressors ali net.compressors, konfigurirano tako, da izključi zlib
• Omejite izpostavljenost omrežja z omejevanjem dostopa do strežnikov MongoDB in natančnim spremljanjem dnevnikov za sumljive poskuse povezave pred preverjanjem pristnosti

Končna ocena

MongoBleed predstavlja resno grožnjo zaradi enostavne izkoriščanja, pomanjkanja zahtev za preverjanje pristnosti in široke izpostavljenosti. Organizacije, ki uporabljajo MongoDB, bi morale obravnavati CVE-2025-14847 kot visoko prioritetno sanacijo, nemudoma namestiti popravke in zagotoviti, da se nepotrebna izpostavljenost omrežja odpravi, kjer koli je to mogoče.