- MongoBleed (CVE-2025-14847) causa la fuga di dati sensibili attraverso lo sfruttamento della memoria heap non inizializzata.
- Circa 87.000 istanze MongoDB esposte risultano vulnerabili; la maggior parte si trova in Stati Uniti, Cina e Germania.
- Patch rilasciata il 19 dicembre; MongoDB Atlas è stato aggiornato automaticamente e non sono ancora stati confermati abusi nel mondo reale.
MongoBleed, una vulnerabilità ad alta gravità che affligge diverse versioni di MongoDB, può ora essere facilmente sfruttata poiché sul web è diventato disponibile un proof-of-concept (PoC).
All'inizio di questa settimana, il ricercatore di sicurezza Joe Desimone ha pubblicato il codice che sfrutta una vulnerabilità di "lettura di memoria heap non inizializzata" tracciata come CVE-2025-14847. Questa vulnerabilità, con un punteggio di 8.7/10 (alto), deriva da "campi di lunghezza non corrispondenti nelle intestazioni del protocollo compresso Zlib".
Inviando un messaggio malevolo che dichiara una dimensione maggiore una volta decompresso, l'attaccante può indurre il server ad allocare un buffer di memoria più grande, attraverso il quale verrebbero esposti dati in memoria contenenti informazioni sensibili, come credenziali, chiavi cloud, token di sessione, chiavi API, configurazioni e altri dati.
Come proteggersi
Inoltre, gli aggressori che sfruttano MongoBleed non hanno bisogno di credenziali valide per mettere a segno l'attacco.
Nella sua analisi, BleepingComputer conferma che esistono circa 87.000 istanze potenzialmente vulnerabili esposte su internet, secondo i dati di Censys. La maggior parte si trova negli Stati Uniti (20.000), con presenze significative in Cina (17.000) e Germania (circa 8.000).
Ecco l'elenco di tutte le versioni vulnerabili:
MongoDB da 8.2.0 a 8.2.3
MongoDB da 8.0.0 a 8.0.16
MongoDB da 7.0.0 a 7.0.26
MongoDB da 6.0.0 a 6.0.26
MongoDB da 5.0.0 a 5.0.31
MongoDB da 4.4.0 a 4.4.29
Tutte le versioni di MongoDB Server v4.2
Tutte le versioni di MongoDB Server v4.0
Tutte le versioni di MongoDB Server v3.6
Se stai utilizzando una delle versioni sopra elencate, assicurati di aggiornare: una patch per le istanze in self-hosting è disponibile dal 19 dicembre. Gli utenti che utilizzano MongoDB Atlas non devono fare nulla, poiché le loro istanze sono state aggiornate automaticamente.
Finora non ci sono rapporti confermati di abusi nel mondo reale, sebbene alcuni ricercatori stiano collegando MongoBleed alla recente violazione di Rainbow Six Siege di Ubisoft.
Via BleepingComputer