MongoBleed 漏洞允許攻擊者從 MongoDB 的堆內(nèi)存中讀取數(shù)據(jù)

作者 | Renato Losio

譯者 | 劉雅夢

策劃 | 丁曉昀

MongoDB 最近修補了 CVE-2025-14847，這是一個影響多個支持和遺留 MongoDB 服務(wù)器版本的漏洞。根據(jù)披露，該漏洞可以被未認證的攻擊者以較低的復雜度遠程利用，可能導致敏感數(shù)據(jù)和憑證的外泄。

這個漏洞被稱為 MongoBleed，以臭名昭著的 Heartbleed 命名，CVSS 得分為 8.7，由對 zlib 壓縮網(wǎng)絡(luò)流量處理不當觸發(fā)，允許未經(jīng)身份驗證的攻擊者泄露未初始化的內(nèi)存，并可能從受影響的 MongoDB 服務(wù)器竊取敏感數(shù)據(jù)，如憑證或令牌。根據(jù) Wiz 的安全研究人員，該漏洞正在被廣泛利用。

正如 MongoDB 的聲明所述，MongoDB Atlas 上的托管實例已經(jīng)被修補，但是如果自托管 MongoDB 不更新，仍然存在風險。強烈建議組織立即應(yīng)用安全補丁，或禁用壓縮并限制網(wǎng)絡(luò)暴露。Merav Bar、Amitai Cohen、Yaara Shriki 和 Gili Tikochinski 解釋：

CVE-2025-14847 源于 MongoDB 服務(wù)器基于 zlib 的網(wǎng)絡(luò)消息解壓縮邏輯中的一個缺陷，該邏輯在認證之前進行了處理。通過發(fā)送畸形的壓縮網(wǎng)絡(luò)數(shù)據(jù)包，未經(jīng)身份驗證的攻擊者可以觸發(fā)服務(wù)器錯誤處理解壓縮的消息長度，導致返回給客戶端未初始化堆內(nèi)存。

根據(jù) Wiz 文章，42% 的云環(huán)境中至少有一個易受攻擊的 MongoDB 實例，Censys 報告稱全球大約有 87,000 臺服務(wù)器存在潛在的風險。由于該漏洞可以在沒有認證或用戶交互的情況下被利用，暴露在互聯(lián)網(wǎng)上的數(shù)據(jù)庫服務(wù)器面臨特別高的風險。Wiz 團隊補充道：

在代碼層面，這個漏洞是由 message_compressor_zlib.cpp 中的錯誤長度處理引起的。受影響的邏輯返回了分配的緩沖區(qū)大小（output.length()），而不是實際解壓縮數(shù)據(jù)的長度，從而允許過小或畸形的有效載荷暴露相鄰的堆內(nèi)存。

這個漏洞影響了自 2017 年以來發(fā)布的所有 MongoDB 版本。Linkfields Innovations 的軟件開發(fā)人員 Gourav Boiri評論道：

MongoBleed 突出了即使是成熟的數(shù)據(jù)庫，當暴露或打補丁時，也可能成為關(guān)鍵的攻擊面。預認證內(nèi)存泄露、主動漏洞攻擊和 87K+ 暴露實例——提醒我們，數(shù)據(jù)庫安全就是基礎(chǔ)設(shè)施安全。

在“簡單解釋 MongoBleed”的文章中，Stanislav Kozlovski 解釋了這一漏洞的工作原理，并警告說：

它非常容易被利用——只需要連接到數(shù)據(jù)庫（不需要認證）。截至撰寫本文時，它已經(jīng)被修復，但一些 EOL 版本（3.6、4.0、4.2）將不會得到修復。

InfoSec 創(chuàng)始人和實踐者 Eric Capuano 解釋了 如何從日志中檢測數(shù)據(jù)庫服務(wù)器是否被利用。在一個流行的 Reddit 帖子中，用戶 misteryuub 爭論道：

很多人爭論說開源代碼比閉源代碼更安全，或者安全問題會在開源代碼中更快被發(fā)現(xiàn)。這種級別的漏洞存在是對這個論點的反駁。

Kozlovski 不同意：

當人們說開源更安全時，他們通常指的是有活躍社區(qū)的開源項目。Mongo 在 2017 年似乎沒有這個，因為引入這個漏洞的 PR 沒有在公共 GitHub 上被審查。

MongoDB 補丁版本現(xiàn)在可用于從 4.4 到 8.0 的所有支持版本。像 Percona Server for MongoDB 這樣的分支也受到上游漏洞的影響。

https://www.infoq.com/news/2026/01/mongodb-mongobleed-vulnerability/

明：本文為 InfoQ 翻譯，未經(jīng)許可禁止轉(zhuǎn)載。