كاشف MongoBleed

أداة تحليل MongoDB غير متصلة لـ CVE-2025-14847 (MongoBleed)

أداة سطر أوامر مستقلة لنظام لينكس تقوم بتحليل بيانات MongoDB لتحديد احتمالية استغلال CVE-2025-14847 باستخدام وحدات كشف متعددة.

جدول المحتويات

• نظرة عامة
• وحدات الكشف
• المتطلبات
• التثبيت
• وضعا التشغيل
• الوضع 1: التحليل المحلي
• الوضع 2: الجمع عن بُعد
• خيارات سطر الأوامر
• مستويات الثقة
• مثال للمخرجات
• الاختبار
• التحذيرات والقيود
• المراجع والإسناد
• الرخصة

نظرة عامة

MongoBleed (CVE-2025-14847) هو ثغرة كشف للذاكرة في فك ضغط zlib الخاص بـ MongoDB تسمح للمهاجمين باستخراج بيانات حساسة—بيانات الاعتماد، رموز الجلسات، المعلومات الشخصية القابلة للتحديد—مباشرة من ذاكرة الخادم دون مصادقة.

تساعد هذه الأداة مستجيبي الحوادث على كشف محاولات الاستغلال باستخدام مصادر أدلة متعددة:

• الوحدة A: ربط السجلات (أحداث الاتصال، غياب البيانات الوصفية)
• الوحدة B1: تحليل عدد التأكيدات (لقطات serverStatus.asserts)
• الوحدة B2: كشف القمم في FTDC (سلاسل زمنية diagnostic.data)

الميزات الرئيسية

• كشف متعدد الوحدات - ربط مصادر بيانات متعددة للحصول على ثقة أعلى
• غير متصل وبدون وكيل - لا حاجة لاتصال بالشبكة أثناء التحليل
• اكتشاف تلقائي - يكتشف تلقائياً مصادر البيانات المتاحة
• جمع عن بُعد - يجمع البيانات من مضيفين متعددين عبر SSH
• تقييم مُركب - أحكام ثقة عالية/متوسطة/منخفضة
• معالجة تدفقية - يعالج ملفات السجلات الكبيرة بكفاءة

وحدات الكشف

الوحدة A: ربط السجلات

تحلل سجلات MongoDB بصيغة JSON لاكتشاف أنماط الاستغلال:

الرؤية الأساسية: مشغلات MongoDB الشرعية ترسل دائماً بيانات وصفية للعميل. استغلال MongoBleed يتصل، يستخرج الذاكرة، ويفصل—ولكنه لا يرسل بيانات وصفية أبداً.

الوحدة B1: عدد التأكيدات

تحلل لقطات من db.serverStatus().asserts لاكتشاف أنماط غير عادية في عدادات asserts.user:

• لقطات متعددة: تقارن اللقطات عبر الزمن لاكتشاف قمم مفاجئة في تأكيدات المستخدم
• التخمين باستخدام لقطة واحدة: عندما تتوفر لقطة واحدة فقط، تكتشف أنماطاً مشبوهة بمقارنة asserts.user مع أنواع التأكيدات الأخرى. إذا كانت تأكيدات المستخدم مرتفعة بشكل غير متناسب (نسبة ≥250x) أو كانت جميع الأنواع الأخرى صفراً، تُصنف كمشبوهة (ثقة متوسطة)

ملاحظة: العدادات التراكمية قد تؤدي إلى نتائج إيجابية خاطئة. يُفضل استخدامها مع FTDC (الوحدة B2) للحصول على أفضل النتائج.

الوحدة B2: كشف القمم في FTDC

تحلل ملفات FTDC (Full-Time Diagnostic Data Capture) الخاصة بـ MongoDB لاكتشاف قمم زمنية محددة في عدادات التأكيدات. تقوم FTDC بأخذ عينات دورية من serverStatus، مما يتيح تحديد توقيت دقيق للهجمات المحتملة.

المتطلبات

السكريبتات Shell (mongobleed-detector.sh)

• لينكس أو macOS (bash 4+)
• jq - معالج JSON
• awk (يُفضل gawk)
• gzip - لدعم ملفات السجلات المضغوطة

مكونات Python (اختياري، لفك تشفير FTDC)

• Python 3.8+
• pymongo - لفك تشفير ملفات FTDC

الماسح عن بُعد (mongobleed-remote.py)

• Python 3.8+
• عميل SSH أصلي (أوامر ssh، scp)
• لا حاجة لحزم Python إضافية للتشغيل الأساسي

تثبيت التبعيات

# تبعيات السكريبتات Shell
# Debian/Ubuntu
apt-get install jq gawk gzip

# RHEL/CentOS/Fedora
dnf install jq gawk gzip

# macOS
brew install jq gawk

# تبعيات Python (لفك تشفير FTDC)
pip install -r requirements.txt

التثبيت

# استنساخ المستودع
git clone https://github.com/your-org/mongobleed-detector.git
cd mongobleed-detector

# جعل السكريبتات قابلة للتنفيذ
chmod +x mongobleed-detector.sh
chmod +x mongobleed-remote.py
chmod +x ftdc-decode.py

# تثبيت تبعيات Python (اختياري، لدعم FTDC)
pip install -r requirements.txt

وضعا التشغيل

الوضع 1: التحليل المحلي

تحليل البيانات التي تم جمعها يدوياً من مضيفي MongoDB.

الوضع 2: الجمع عن بُعد

جمع البيانات تلقائياً من مضيفين متعددين عبر SSH، ثم تحليلها محلياً.

الوضع 1: التحليل المحلي

الخطوة 1: جمع البيانات

اجمع البيانات من مضيفي MongoDB ونظمها في هذا الهيكل:

./collected-data/
├── logs/                    # سجلات MongoDB بصيغة JSON
│   ├── mongod.log
│   ├── mongod.log.1
│   └── mongod.log.2.gz
├── assert-counts/           # لقطات serverStatus().asserts
│   ├── asserts-2025-01-01.json
│   └── asserts-2025-01-02.json
└── ftdc-files/              # محتويات FTDC diagnostic.data
    ├── metrics.2025-01-02T10-00-00Z-00000
    └── metrics.interim

جمع السجلات

# نسخ من المضيف البعيد
scp user@mongohost:/var/log/mongodb/mongod.log* ./collected-data/logs/

جمع عدد التأكيدات

شغّل هذا الأمر على مضيف MongoDB (يتطلب وصول mongosh):

mongosh --quiet --eval 'JSON.stringify({
  timestamp: new Date().toISOString(),
  hostname: db.hostInfo().system.hostname,
  asserts: db.serverStatus().asserts,
  uptime: db.serverStatus().uptime
})' > asserts-$(date +%Y%m%d-%H%M%S).json

انسخ ملف JSON الناتج إلى ./collected-data/assert-counts/.

نصيحة: شغّل هذا الأمر عدة مرات (مثال: كل ساعة) لوضع خط أساس وكشف القمم.

جمع ملفات FTDC

توجد ملفات FTDC في:

• mongod: <storage.dbPath>/diagnostic.data/ (غالباً /var/lib/mongodb/diagnostic.data/)
• mongos: مستنتج من systemLog.path (مثال: /var/log/mongodb/mongos.diagnostic.data/)

# نسخ ملفات FTDC (قد يتطلب صلاحيات sudo)
sudo cp /var/lib/mongodb/diagnostic.data/metrics.* ./collected-data/ftdc-files/

الخطوة 2: تشغيل التحليل

# وضع الاكتشاف التلقائي - يحلل جميع البيانات المتاحة
./mongobleed-detector.sh --data-dir ./collected-data/

# مع حدود مخصصة
./mongobleed-detector.sh --data-dir ./collected-data/ \
    -t 1440 \              # نظرة رجعية لمدة 24 ساعة
    -c 50 \                # حد اتصال أقل
    --spike-threshold 50   # حد قمة أقل

الوضع القديم (سجلات فقط)

للتوافق مع الإصدارات السابقة، يمكنك تحليل السجلات مباشرةً:

# مسح المسارات الافتراضية
./mongobleed-detector.sh

# مسح ملفات سجلات محددة
./mongobleed-detector.sh -p /path/to/logs/*.json

# وضع الطب الشرعي (تحليل مضيفين متعددين)
./mongobleed-detector.sh --forensic-dir /evidence/

الوضع 2: الجمع عن بُعد

جمع البيانات تلقائياً من مضيفين متعددين وتحليلها:

# إنشاء ملف المضيفين
cat > hosts.txt << EOF
mongo-prod-01.example.com
mongo-prod-02.example.com
mongo-staging.example.com
EOF

# الجمع والتحليل
./mongobleed-remote.py --hosts-file hosts.txt --user admin --output-dir ./collected-data/

خيارات الماسح عن بُعد

# استخدام مفتاح SSH محدد
./mongobleed-remote.py --hosts-file hosts.txt --user admin --key ~/.ssh/mongodb_key

# تنفيذ متوازٍ
./mongobleed-remote.py --hosts-file hosts.txt --user admin --parallel 10

# تخطي جمع FTDC (أسرع)
./mongobleed-remote.py --hosts-file hosts.txt --user admin --skip-ftdc

# جمع فقط، تحليل لاحقاً
./mongobleed-remote.py --hosts-file hosts.txt --user admin --collect-only

# تمرير خيارات SSH (مثال: مضيف قفز)
./mongobleed-remote.py --hosts-file hosts.txt --user admin \
    -o "ProxyJump=bastion.example.com"

# استخدام sudo للوصول إلى الملفات المميزة (ملفات FTDC غالباً مقيدة)
./mongobleed-remote.py --hosts-file hosts.txt --user admin --sudo

# وضع التصحيح لاستكشاف مشاكل الاتصال
./mongobleed-remote.py --hosts-file hosts.txt --user admin --debug

ملاحظة حول صلاحيات FTDC: ملفات FTDC في /var/lib/mongodb/diagnostic.data/ عادةً مملوكة للمستخدم mongodb وغير قابلة للقراءة من قبل المستخدمين العاديين. إذا رأيت تحذيرات "FTDC Permission Issues"، استخدم العلم --sudo. يتطلب ذلك أن يكون لدى المستخدم البعيد صلاحية sudo بدون كلمة مرور (NOPASSWD في sudoers).

ما يتم جمعه

خيارات سطر الأوامر

mongobleed-detector.sh

mongobleed-remote.py

أكواد الخروج

مستويات الثقة

توفر الأداة حكماً مركباً للثقة بناءً على جميع الأدلة المتاحة:

مستويات المخاطر الخاصة بالوحدة

لربط السجلات (الوحدة A)، يتم تصنيف عناوين IP الفردية:

مثال للمخرجات

INFO: وضع الاكتشاف التلقائي: تحليل ./collected-data/
INFO: الوحدة A: تحليل 3 ملف(ات) سجل...
INFO: الوحدة B1: تحليل عدد التأكيدات...

╔══════════════════════════════════════════════════════════════════════════════════════════════════════════════════╗
║                              نتائج كشف MongoBleed (CVE-2025-14847)                                               ║
╚══════════════════════════════════════════════════════════════════════════════════════════════════════════════════╝

حالة الوحدات:
  [✓] الوحدة A (ربط السجلات): تم العثور على 3 ملف(ات) سجل
  [✓] الوحدة B1 (عدد التأكيدات): تم العثور على 4 لقطة(ات)
  [−] الوحدة B2 (قمم FTDC): لا توجد ملفات FTDC أو مفكك التشفير غير متاح

معلمات التحليل:
  نافذة الزمن:        4320 دقيقة
  حد الاتصال:         100
  حد معدل الاندفاع:   400/دقيقة
  معدل البيانات الوصفية:      0.10
  حد القمة:           100
  حد نسبة المستخدم:   250x

نتائج الوحدة A - ربط السجلات:

المخاطر  SourceIP                                  ConnCount  MetaCount  DiscCount    MetaRate%    BurstRate/m FirstSeen (UTC)        LastSeen (UTC)        
-------- ---------------------------------------- ---------- ---------- ---------- ------------ -------------- ---------------------- ----------------------
عالية    137.137.137.137                                8172          0       8172        0.00%         490.32 2025-12-27T12:55:52Z   2025-12-27T13:12:32Z  

تحليل الوحدة B1 - عدد التأكيدات:
  تم تحليل 4 لقطات من 2025-01-01T10:00:00Z إلى 2025-01-01T11:30:00Z
    asserts.user: 100 -> 860 (الفرق: 760)
  تم كشف قمة: 2025-01-01T10:30:00Z إلى 2025-01-01T11:00:00Z
    الفرق: +740 تأكيد مستخدم (110 -> 850)

═══════════════════════════════════════════════════════════════════════════════════════════════════════════════════
الحكم المُركب:
  ثقة متوسطة - يُوصى بالتحقيق
    - أنماط اتصال مشبوهة ولكن بيانات FTDC غير متاحة للربط

⚠ مهم: إذا تم تأكيد الاستغلال، فإن التصحيح وحده غير كافٍ.
  - قم بتدوير جميع بيانات الاعتماد التي قد تكون مكشوفة
  - راجع البيانات التي تم الوصول إليها بحثاً عن كشف معلومات حساسة
  - تحقق من الحركة الجانبية من الأنظمة المتأثرة
  - احتفظ بالسجلات للتحليل الجنائي

تحذيرات:
  - غياب البيانات الوصفية للاتصال خاص بـ PoC ويمكن تجنبه
  - عدادات التأكيدات تراكمية - نتائج إيجابية خاطئة ممكنة بدون خط أساس
  - FTDC توفر توقيتاً لكن ليس إسناداً كاملاً
  - التصحيح + تدوير الأسرار يظل إلزامياً بغض النظر عن نتائج الكشف

الاختبار

يحتوي المستودع على مجموعة اختبار للتحقق من صحة الكاشف.

بيانات مثال من العالم الحقيقي

يحتوي دليل example-data/ على بيانات حقيقية من مثيل MongoDB 8.0.16 تعرض لهجوم باستخدام PoC MongoBleed:

example-data/
├── logs/                    # سجلات MongoDB حقيقية مع أنماط هجوم
│   ├── mongod.log
│   └── mongod.log.1.gz
├── assert-counts/           # لقطة serverStatus().asserts بعد الهجوم
│   └── asserts-post-attack.json
└── ftdc-files/              # ملفات بيانات FTDC تشخيصية حقيقية
    └── metrics.*

تظهر هذه البيانات:

• 16,344 اتصالاً من IP المهاجم 137.137.137.137 مع 0% بيانات وصفية
• 37,384 تأكيد مستخدم تراكمت أثناء الهجوم
• ملفات FTDC تغطي نافذة الهجوم

إنشاء بيانات اختبار صناعية

./test/generate-test-logs.sh

ينشئ هذا بيانات اختبار صناعية إضافية بأنماط متنوعة:

• ملفات سجل بأنماط مخاطر عالية/متوسطة/منخفضة/معلوماتية
• لقطات JSON لعدد التأكيدات (مع وبدون قمم)
• حالات حافة (IPv6، مدخلات غير صالحة، إلخ)

تشغيل الاختبارات

./test/test-detector.sh

المخرجات المتوقعة:

╔════════════════════════════════════════════════════════╗
║       مجموعة اختبار كاشف MongoBleed                    ║
╚════════════════════════════════════════════════════════╝

اختبارات الوحدة A (ربط السجلات):
✓ نجاح: كود الخروج هو 1 (تم كشف نتائج)
✓ نجاح: تم كشف IP المصدر 137.137.137.137
...

اختبارات الوحدة B1 (عدد التأكيدات):
✓ نجاح: يُظهر حالة الوحدة B1
✓ نجاح: تم كشف قمة التأكيدات
...

اختبارات وضع الاكتشاف التلقائي:
✓ نجاح: يُظهر حالة الوحدة A
✓ نجاح: يُظهر الحكم المُركب
...

النتائج:
  تم النجاح: 24
  فشل: 0

جميع الاختبارات نجحت!

التحذيرات والقيود

⚠️ قيود مهمة

قيود الكشف

1. كشف خاص بـ PoC: يعتمد كشف غياب البيانات الوصفية على سلوك PoC MongoBleed المعروف. يمكن لمهاجم متطور تعديل الاستغلال لإرسال بيانات وصفية مزيفة، على الرغم من أن هذا يقلل من سرعة الاستغلال.

2. العدادات التراكمية: asserts.user تراكمي منذ إعادة تشغيل mongod. بدون لقطات خط الأساس، قد تكون القيم العالية طبيعية للمثيلات طويلة التشغيل. اللقطات المتعددة عبر الزمن تحسن الدقة بشكل كبير.

3. توقيت FTDC: توفر FTDC معلومات توقيتية ولكن ليس إسناداً كاملاً. استخدمها مع ربط السجلات للحصول على أفضل النتائج.

4. الاحتفاظ بالسجلات: يمكن تحليل السجلات الموجودة فقط. التدوير العنيف أو مسح السجلات من قبل المهاجم سيدمر الأدلة.

المتطلبات التقنية

1. مطلوب تسجيل JSON: إصدارات MongoDB 4.4+ تسجل بصيغة JSON افتراضياً. السجلات النصية القديمة غير مدعومة.

2. مفكك FTDC: يتطلب فك تشفير FTDC Python 3 مع pymongo. بدونه، الوحدة B2 غير متاحة.

3. وصول mongosh: يتطلب جمع عدد التأكيدات وجود mongosh مع الصلاحيات المناسبة.

الإجراءات بعد الكشف

إذا تم تأكيد نتائج عالية أو متوسطة:

1. الحفاظ على الأدلة - انسخ السجلات قبل تدويرها
2. تدوير بيانات الاعتماد - قم بتدوير جميع بيانات اعتماد MongoDB وأي أسرار قد تكون كانت في الذاكرة
3. مراجعة البيانات - تقييم البيانات الحساسة التي قد تكون مكشوفة
4. الحركة الجانبية - تحقق من تحرك المهاجم إلى أنظمة أخرى
5. التصحيح فوراً - طبق تحديثات أمان MongoDB
6. الإبلاغ - اتبع إجراءات الاستجابة للحوادث الخاصة بك

المراجع والإسناد

أبحاث الكشف

يعتمد منطق الكشف في هذه الأداة على أبحاث من Eric Capuano و Tamir Zimerman:

• Hunting MongoBleed (CVE-2025-14847) - مقالة Eric Capuano حول الثغرة ومنهجية الكشف
• A Different MongoBleed Perspective - تحليل Tamir Zimerman للكشف القائم على التأكيدات

وثائق MongoDB

• أمر serverStatus - توثيق حقل asserts
• Full Time Diagnostic Data Capture - مواقع تخزين FTDC
• What is MongoDB FTDC - خلفية عن تنسيق FTDC

الإصدارات المتأثرة

الرخصة

انظر ملف LICENSE.

المساهمة

نرحب بالمساهمات! يرجى تقديم المشكلات وطلبات السحب.

إذا اختبرت هذه الأداة على بيانات إنتاج، فسنقدر بشكل خاص التعليقات حول:

• معدلات النتائج الإيجابية الخاطئة
• أنماط المرور الشرعية
• حالات الحواف أو فشل التحليل
• مشاكل فك تشفير FTDC