CVE-2025-14847 Güvenlik Açığı
Yeni ortaya çıkan bir MongoDB güvenlik açığı, gerçek dünyadaki saldırılarda aktif olarak istismar ediliyor ve dünya çapında on binlerce veritabanı örneğini riske atıyor. Güvenlik araştırmacıları, 87.000'den fazla potansiyel olarak savunmasız MongoDB dağıtımını tespit etti; bu da üretim ortamlarında MongoDB'ye güvenen kuruluşlar için önemli bir endişe kaynağı oluşturuyor.
İçindekiler
CVE-2025-14847’yi Anlamak
CVE-2025-14847 olarak takip edilen ve CVSS ölçeğinde 8.7 olarak derecelendirilen bu yüksek önem dereceli güvenlik açığına MongoBleed kod adı verilmiştir. Bu açık, kimlik doğrulaması yapılmamış uzaktan saldırganların, geçerli kimlik bilgileri veya kullanıcı etkileşimi gerektirmeden, hassas verileri doğrudan MongoDB sunucu belleğinden sızdırmasına olanak tanır.
Bu güvenlik açığı, kimlik doğrulamasından önce istismar edilebiliyor; bu da özellikle internete açık MongoDB sunucuları için risk profilini önemli ölçüde artırıyor.
Asıl Sebep: zlib Sıkıştırması Yanlış Gitti
Bu güvenlik açığı, MongoDB Server'ın zlib tabanlı mesaj açma mantığındaki, özellikle message_compressor_zlib.cpp bileşenindeki bir kusurdan kaynaklanmaktadır. MongoDB, zlib sıkıştırmayı varsayılan olarak etkinleştirir; bu da açıkça yeniden yapılandırılmadığı sürece birçok dağıtımın etkilendiği anlamına gelir.
Saldırganlar, hatalı sıkıştırılmış ağ paketleri göndererek, sıkıştırılmış verilerin uzunluklarının yanlış işlenmesinden faydalanabilirler. Etkilenen mantık, sıkıştırılmış içeriğin gerçek boyutunu döndürmek yerine, ayrılan arabellek boyutunun tamamını döndürür. Bu hata, başlatılmamış yığın belleğini açığa çıkararak saldırganların bitişik hassas verilerin parçalarını elde etmelerine olanak tanır.
Saldırganlar Neler Çalabilir?
Başarılı bir saldırı, sunucu belleğinde depolanan son derece hassas bilgilerin (kullanıcı kayıtları, parolalar ve API anahtarları dahil) açığa çıkmasına neden olabilir. Saldırganların anlamlı verileri yeniden oluşturmak için büyük miktarda istek göndermesi gerekebilir ve sızdırılan bazı parçalar alakasız olabilir; ancak risk zamanla artar. Saldırgan ne kadar uzun süre erişimini sürdürürse, potansiyel olarak o kadar fazla veri ele geçirilebilir.
Bulut güvenliği analistleri, saldırının kimlik doğrulaması veya kullanıcı etkileşimi gerektirmediğini ve bu durumun internete açık MongoDB sunucularını özellikle savunmasız hale getirdiğini doğruluyor.
Kapsam ve Küresel Görünürlük
Analizler, etkilenen MongoDB örneklerinin dünya genelinde yaygın olduğunu ve özellikle Amerika Birleşik Devletleri, Çin, Almanya, Hindistan ve Fransa'da yoğunlaştığını gösteriyor. Araştırmacılar ayrıca, bulut ortamlarının %42'sinin, hem halka açık sistemleri hem de dahili altyapıyı kapsayan, CVE-2025-14847'ye karşı savunmasız bir sürüm çalıştıran en az bir MongoDB örneği içerdiğini bildiriyor.
Şu anda, aktif sömürü kampanyalarında kullanılan kesin teknikler belirsizliğini koruyor.
Yamalar, Etkilenen Yazılımlar ve Daha Geniş Kapsamlı Etki
MongoDB, desteklenen birçok dalda düzeltmeler yayınladı ve yamalar MongoDB Atlas'a zaten uygulandı. Kuruluşlar derhal aşağıdaki güvenli sürümlerden birine yükseltme yapmalıdır:
MongoDB 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 veya 4.4.30
Sorunun yalnızca MongoDB'ye özgü olmadığını da belirtmek önemlidir. Bu güvenlik açığı, aynı zlib sıkıştırma kütüphanesine bağımlı olması nedeniyle Ubuntu rsync paketini de etkiliyor.
Yama İşlemi Sırasında Risk Azaltma Stratejileri
Acil yama uygulamasının mümkün olmadığı ortamlarda, maruz kalmayı önemli ölçüde azaltabilecek birkaç geçici önlem alınabilir:
- Zlib sıkıştırmasını devre dışı bırakmak için, mongod veya mongos'u networkMessageCompressors veya net.compression.compressors seçeneği zlib'i hariç tutacak şekilde yapılandırarak başlatın.
- MongoDB sunucularına erişimi kısıtlayarak ve ön kimlik doğrulama bağlantı girişimlerine ilişkin şüpheli durumları yakından izleyerek ağa maruz kalmayı sınırlayın.
Son Değerlendirme
MongoBleed, istismar kolaylığı, kimlik doğrulama gereksinimlerinin olmaması ve yaygınlığı nedeniyle ciddi bir tehdit oluşturmaktadır. MongoDB kullanan kuruluşlar, CVE-2025-14847'yi yüksek öncelikli bir çözüm olarak ele almalı, yamaları gecikmeden uygulamalı ve gereksiz ağ maruziyetini mümkün olan her yerde ortadan kaldırmalıdır.
