MongoBleed (CVE-2025-14847)

MongoBleed ist ein leistungsstarker PoC-Scanner für CVE-2025-14847, eine Schwachstelle zur Offenlegung von Heap-Speicher vor der Authentifizierung im MongoDB C++-Treiber. Das Tool ist für die schnelle Identifizierung anfälliger Instanzen über große Netzwerkbereiche hinweg ausgelegt.

Technische Analyse

Die Schwachstelle beruht auf einem Out-of-Bounds (OOB)-Lesevorgang bei der Verarbeitung von OP_COMPRESSED-Nachrichten im MongoDB-Wire-Protokoll.

Wenn ein Server ein OP_COMPRESSED-Paket empfängt, vertraut er auf das vom Angreifer bereitgestellte Feld uncompressedSize, um einen Puffer für die Dekomprimierung zuzuweisen. Wenn die tatsächlichen dekomprimierten Daten deutlich kleiner sind als die angegebene uncompressedSize, schneidet der Treiber den Puffer nicht ab oder löscht ihn. Infolgedessen gibt der Server den gesamten zugewiesenen Speicherblock zurück, der nicht initialisierte Heap-Daten enthalten kann, wodurch möglicherweise vertrauliche Informationen wie Sitzungstokens, interne Zeiger oder Fragmente anderer Datenbankabfragen preisgegeben werden.

Funktionen

• Asynchrone E/A mit Python asyncio für Scans mit hoher Parallelität
• Präzise Erkennung durch Validierung der Antwortlänge gegen die angeforderte Leckgröße
• Minimale Fehlalarme durch verifizierte Interaktion auf Protokollebene
• Automatische Protokollierung anfälliger Ziele in vulnerable_targets.txt

Installation

git clone https://github.com/Black1hp/mongobleed-scanner/
cd mongobleed-scanner

Keine externen Abhängigkeiten erforderlich (nur Python-Standardbibliothek).

Verwendung

Grundlegende Verwendung:

python3 mongobleed.py -i targets.txt

Erweiterte Konfiguration:

python3 mongobleed.py -i targets.txt -c 100 -t 5

Optionen

• -i : Eingabedatei mit Zielen (IP, Domain oder IP:Port)
• -c : Parallelitätsstufe (Standard: 50)
• -t : Verbindungszeitüberschreitung in Sekunden (Standard: 5)

Erkennungslogik

Der Scanner identifiziert die Schwachstelle durch Ausnutzung einer Größenabweichung während der BSON-Dekomprimierungsphase:

1. Der Scanner sendet ein manipuliertes OP_COMPRESSED-Paket mit einer kleinen zlib-komprimierten Nutzlast, z. B. 16-30 Bytes .
2. Das Feld uncompressedSize im Paketkopf wird absichtlich auf einen viel größeren Wert gesetzt (z. B. 64KB).
3. Ein ANFÄLLIGER Zustand wird bestätigt, wenn der MongoDB-Server mit einer MessageLength antwortet, die mit der angeforderten großen Puffergröße übereinstimmt und nicht mit der tatsächlichen Größe der dekomprimierten Nutzlast.
4. Der Server verwendet vertrauensvoll die vom Angreifer bereitgestellte uncompressedSize, um die Antwortlänge zu definieren. Da er diese Länge nicht mit den tatsächlich während der Dekomprimierung geschriebenen Bytes aktualisiert, streamt er blind den gesamten zugewiesenen Heap-Puffer – einschließlich nicht initialisierten Speichers – zurück zum Client.
5. Der Scanner validiert die Antwort, indem er die zusätzlichen Bytes aus dem Stream liest, die nicht initialisierte Fragmente des Heap-Speichers des Servers darstellen.

Proof of Concept

Hinweis: Das obige Video zeigt den Scanner, der mehrere anfällige Instanzen identifiziert und in Echtzeit Heap-Fragmente erfasst.

Autor

Black1hp Sicherheitsforscher | Bug Hunter | Red Teamer

• GitHub: https://github.com/black1hp
• X (Twitter): https://x.com/black1hp
• Medium: https://medium.com/@black1hp
• LinkedIn: https://www.linkedin.com/in/black1hp/

Haftungsausschluss

Dieses Tool ist ausschließlich für autorisierte Sicherheitstests und Forschungszwecke bestimmt. Der Autor übernimmt keine Verantwortung für unbefugte Nutzung oder Schäden, die durch dieses Tool entstehen.