CVE-2025-14847 (MongoBleed)

إفشاء ذاكرة ضغط zlib في MongoDB — تحليل، اكتشاف، ومعالجة

نظرة عامة

CVE-2025-14847، المشار إليه عادةً باسم MongoBleed، هو ثغرة كشف معلومات عالية الخطورة تؤثر على :contentReference[oaicite:0]{index=0} Server.
تسمح الثغرة لمهاجم عن بعد، غير مصادق بتسريب بيانات حساسة من ذاكرة الخادم عن طريق استغلال المعالجة غير الصحيحة لرسائل الشبكة المضغوطة باستخدام zlib.

يتم استغلال المشكلة بنشاط في البيئة الحقيقية وتؤثر على نشر MongoDB باستخدام تكوين الضغط الافتراضي.

• CVE ID: CVE-2025-14847
• الخطورة: عالية (CVSS 8.7)
• ناقل الهجوم: شبكة
• المصادقة المطلوبة: لا
• تفاعل المستخدم: لا شيء
• حالة الاستغلال: تم تأكيد الاستغلال النشط

ملخص فني

يدعم MongoDB ضغط رسائل الشبكة باستخدام zlib، وهو مفعل افتراضيًا.
توجد الثغرة في منطق فك ضغط zlib حيث يُرجع MongoDB حجم المخزن المؤقت للإخراج المخصص بدلاً من طول البيانات المفكوكة الفعلي.

عند إرسال حزم مضغوطة مشوهة:

• قد يقرأ MongoDB ما بعد البيانات المفكوكة الصالحة
• يمكن تعريض ذاكرة الكومة غير المهيأة
• يسمح الاستغلال المتكرر بالاستخراج التدريجي للمعلومات الحساسة

مسار الشفرة المعرض للثغرة يمكن الوصول إليه قبل المصادقة، مما يجعل الخوادم المعرضة للإنترنت والتي يمكن الوصول إليها داخليًا عرضة للخطر.

التأثير المحتمل

قد يؤدي الاستغلال الناجح إلى الكشف عن:

• معلومات المستخدم
• تجزئات كلمات المرور
• مفاتيح API
• أسرار التطبيق
• بيانات حساسة أخرى في الذاكرة

على الرغم من أن تسريبات الذاكرة الفردية قد تظهر متقطعة أو غير مكتملة، فإن الاستغلال المستمر يزيد من احتمالية التعرض الهادف للبيانات.

الإصدارات المتأثرة

تؤثر الثغرة على إصدارات MongoDB Server السابقة للإصدارات المصححة التالية:

تم بالفعل تصحيح نشر MongoDB Atlas.

🔍 الاكتشاف والمراقبة

📜 المؤشرات المستندة إلى السجلات

راقب سجلات خادم MongoDB بحثًا عن أي نشاط مشبوه أو غير متوقع يحدث قبل المصادقة، والذي قد يشير إلى استكشاف أو مصافحة مشوهة أو محاولات استغلال.

ركز على إدخالات السجل المتعلقة بـ:

• إجراءات الضغط وفك الضغط
• سلوك مصافحة العميل
• شذوذ تدفق المصادقة
• أخطاء البروتوكول أو التحليل

🔎 مثال لأمر مراجعة السجلات

استخدم الأمر التالي لتصفية المؤشرات ذات الصلة من سجلات MongoDB:

grep -Ei "compress|decompress|zlib|handshake|authentication" /var/log/mongodb/mongod.log

المؤشرات المثيرة للقلق:

• أخطاء فك ضغط متكررة من نفس المصدر
• حجم اتصال عالٍ دون نجاح في المصادقة
• أخطاء حزم مشوهة تسبق محاولات تسجيل الدخول

مؤشرات على مستوى الشبكة

قد يتضمن النشاط المشبوه:

• اتصالات TCP قصيرة العمر متكررة إلى المنفذ 27017
• أنماط حمولة مضغوطة غير طبيعية
• عدم وجود أحداث مصادقة مقابلة

مصادر القياس عن بعد ذات الصلة:

• سجلات جدار الحماية وأنظمة كشف/منع الاختراق (IDS/IPS)
• سجلات VPC Flow Logs
• أدوات مراقبة الشبكة (مثل Zeek, Suricata)

التخفيف والاحتواء

1. تقييد التعرض للشبكة

لا ينبغي أن يكون MongoDB قابلاً للوصول المباشر من الشبكات غير الموثوقة.

الإجراءات الموصى بها:

• إزالة التعرض العام
• فرض قيود جدار الحماية ومجموعات الأمان
• قصر الوصول على مضيفي التطبيقات المعروفة فقط

2. تعطيل ضغط zlib (تخفيف مؤقت)

يؤدي تعطيل ضغط zlib إلى إزالة مسار الشفرة المعرض للثغرة حتى اكتمال التصحيح.

مثال على التكوين:

net:
  compression:
    compressors: snappy

أو عبر سطر الأوامر:

mongod --networkMessageCompressors snappy

المعالجة (إصلاح دائم)

قم بترقية MongoDB إلى إصدار مصحح مذكور أعلاه.

الإجراءات بعد المعالجة

نظرًا لطبيعة الثغرة (كشف الذاكرة)، افترض احتمالية التعرض إذا كان الخادم قابلاً للوصول.

الإجراءات المتابعة الموصى بها:

• تدوير بيانات اعتماد مستخدمي MongoDB
• تدوير أسرار التطبيق ومفاتيح API
• مراجعة السجلات التاريخية بحثًا عن نشاط مشبوه
• تعزيز المراقبة للشذوذ قبل المصادقة

حالة الاستشارة

تمت إضافة CVE-2025-14847 إلى كتالوج الثغرات المستغلة المعروفة (KEV) التابع لـ CISA، مما يؤكد الاستغلال في العالم الحقيقي ويزيد من أولوية المعالجة.