MongoBleed: أداة اكتشاف تسرب الذاكرة CVE-2025-14847

MongoBleed هي أداة تدقيق أمني عالية الأداء مصممة لاكتشاف وإظهار CVE-2025-14847. تسمح هذه الثغرة لمهاجم غير مصادق عن بعد بتسريب أجزاء من ذاكرة heap غير المهيأة من خادم MongoDB من خلال استغلال خلل في عدم تطابق الطول في منطق فك ضغط zlib.

🛡️ نظرة عامة على الثغرة

• معرف CVE: CVE-2025-14847
• الحالة: يتم استغلالها بنشاط في الواقع (اعتبارًا من أواخر ديسمبر 2025).
• الخطورة: عالية (CVSS 8.7)
• التأثير: كشف بيانات حساسة (بيانات اعتماد، رموز جلسة، مفاتيح AWS، إلخ) بدون مصادقة.
• الإصدارات المتأثرة: * 8.2.x < 8.2.3
  • 8.0.x < 8.0.17
  • 7.0.x < 7.0.28
  • 6.0.x < 6.0.27
  • 5.0.x < 5.0.32
  • 4.4.x < 4.4.30
  • جميع إصدارات 3.6.x و4.0.x و4.2.x.

🛠️ إعداد بيئة الاختبار

لاختبار هذا السكريت بأمان، استخدم ملف docker-compose.yml التالي لتشغيل مثيل MongoDB 8.2.2 ضعيف.

قم بتشغيل المثيل باستخدام:

docker-compose up -d

💻 الاستخدام

تأكد من تثبيت Python 3.8+. لا حاجة لمكتبات خارجية (يستخدم socket و zlib و concurrent.futures المدمجة).

فحص أساسي

python mongobleed.py --host 127.0.0.1 --port 27017

خيارات متقدمة

python mongobleed.py --host 127.0.0.1 --threads 50 --range 100 10000 --output leak_dump.bin

🔍 كيف يعمل

يرسل السكريت رسالة OP_COMPRESSED (opcode 2012) مصمَّمة. يكذب بشأن الطول غير المضغوط للبيانات. يخصص خادم MongoDB مخزنًا مؤقتًا في heap بحجم الطول "المكذوب"، ويفك ضغط كمية ضئيلة من البيانات فيه، ثم يعيد عن طريق الخطأ المخزن المؤقت غير المهيأ بالكامل إلى العميل.

🛡️ التخفيف والإصلاح

الطريقة الوحيدة الدائمة لحل CVE-2025-14847 هي ترقية ثنائي MongoDB إلى إصدار يتضمن إصلاحًا لمنطق التحقق من طول OP_COMPRESSED.

الإصلاح الدائم (الترقية)

قم بتطبيق التصحيحات الرسمية من MongoDB. تتضمن هذه الإصدارات فحصًا إلزاميًا لضمان تطابق حجم البيانات المفكوكة مع حقل uncompressedSize في رأس الرسالة.

🛠️ حلول مؤقتة

إذا لم تكن الترقية الفورية ممكنة بسبب متطلبات وقت التشغيل، يمكنك حجب ناقل الهجوم عن طريق تعديل تكوين الخادم.

تعطيل الضاغط الضعيف (موصى به)

تكون الثغرة محددة بتطبيق zlib. يمكنك تعطيل zlib وإجبار الخادم على استخدام snappy أو zstd، والتي لا تتأثر بهذا الخلل الخاص بقراءة heap الزائدة.

عبر سطر الأوامر: أعد تشغيل مثيل mongod مع العلم التالي (لاحظ استبعاد zlib):

mongod --networkMessageCompressors snappy,zstd

عبر ملف التكوين (mongod.conf):

net:
  compression:
    compressors: snappy,zstd

⚠️ إخلاء مسؤولية

هذه الأداة مخصصة للأغراض التعليمية واختبارات الأمان المصرح بها فقط. الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني. المؤلف غير مسؤول عن أي استخدام خاطئ لهذه الأداة. قم بتحديث مثيلات MongoDB الخاصة بك فورًا إلى الإصدارات 8.2.3+ أو 8.0.17+.