Wysokowoltowy problem bezpieczeństwa w MongoDB: Potencjalne ryzyko ujawnienia danych
Odkryto poważną lukę w zabezpieczeniach MongoDB, która może umożliwić nieautoryzowanym użytkownikom dostęp do niezainicjowanej pamięci sterty. Wyciek tego typu stwarza istotne zagrożenie dla bezpieczeństwa danych przechowywanych w bazie.
Luka, oznaczona jako CVE-2025-14847 (wynik CVSS: 8.7), związana jest z niepoprawnym zarządzaniem niespójnością parametrów długości. Problem pojawia się, gdy program nieprawidłowo radzi sobie z sytuacjami, w których pole długości nie odpowiada rzeczywistej długości powiązanych danych.
„Niespójne pola długości w nagłówkach protokołu kompresji Zlib mogą pozwolić na odczyt niezainicjowanej pamięci sterty przez nieautoryzowanego klienta” – wskazano w opisie luki na stronie CVE.org.
Wersje MongoDB dotknięte luką
Luka ta dotyka następujących wersji bazy danych:
- MongoDB 8.2.0 do 8.2.3
- MongoDB 8.0.0 do 8.0.16
- MongoDB 7.0.0 do 7.0.26
- MongoDB 6.0.0 do 6.0.26
- MongoDB 5.0.0 do 5.0.31
- MongoDB 4.4.0 do 4.4.29
- Wszytkie wersje MongoDB Server v4.2
- Wszytkie wersje MongoDB Server v4.0
- Wszytkie wersje MongoDB Server v3.6
Rozwiązania i zalecenia
Problem został naprawiony w wersjach MongoDB: 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 oraz 4.4.30.
„Eksploitacja po stronie klienta implementacji zlib na serwerze może zwrócić niezainicjowaną pamięć sterty bez autoryzacji do serwera” – wyjaśnia MongoDB. „Zdecydowanie zalecamy jak najszybsze przeprowadzenie aktualizacji do wersji naprawczej.”
Jeżeli natychmiastowa aktualizacja nie jest możliwa, zaleca się wyłączenie kompresji zlib na serwerze MongoDB poprzez uruchomienie mongod lub mongos z opcją networkMessageCompressors lub net.compression.compressors, która explicite pomija zlib. Pozostałe opcje kompresji obsługiwane przez MongoDB to snappy i zstd.
„CVE-2025-14847 pozwala zdalnemu, nieautoryzowanemu atakującemu wywołać warunek, w którym serwer MongoDB może zwrócić niezainicjowaną pamięć ze swojej sterty” – podkreśla OP Innovate. „To może skutkować ujawnieniem wrażliwych danych w pamięci, w tym informacji o stanie wewnętrznym, wskaźników lub innych danych, które mogą pomóc atakującemu w dalszej eksploitacji.”
