mongobleed

CVE-2025-14847 - Nicht authentifizierter MongoDB-Speicherleck-Exploit

Ein Proof-of-Concept-Exploit für die MongoDB-zlib-Dekompressions-Schwachstelle, die es nicht authentifizierten Angreifern ermöglicht, sensible Serverspeicherdaten preiszugeben.

Schwachstelle

Ein Fehler in der zlib-Nachrichtendekomprimierung von MongoDB gibt die Größe des reservierten Puffers zurück, anstatt die tatsächliche Länge der dekomprimierten Daten. Dies erlaubt Angreifern, nicht initialisierten Speicher zu lesen, indem sie:

1. Eine komprimierte Nachricht mit einem aufgeblähten uncompressedSize-Anspruch senden
2. MongoDB reserviert einen großen Puffer basierend auf dem Anspruch des Angreifers
3. zlib dekomprimiert die tatsächlichen Daten am Anfang des Puffers
4. Der Fehler führt dazu, dass MongoDB den gesamten Puffer als gültige Daten behandelt
5. Die BSON-Analyse liest „Feldnamen“ aus nicht initialisiertem Speicher, bis sie auf Nullbytes trifft

Betroffene Versionen

Verwendung

# Basic scan (offsets 20-8192)
python3 mongobleed.py --host <target>

# Deep scan for more data
python3 mongobleed.py --host <target> --max-offset 50000

# Custom range
python3 mongobleed.py --host <target> --min-offset 100 --max-offset 20000

Optionen

Beispielausgabe

[*] mongobleed - CVE-2025-14847 MongoDB Memory Leak
[*] Author: Joe Desimone - x.com/dez_
[*] Target: localhost:27017
[*] Scanning offsets 20-50000

[+] offset=  117 len=  39: ssions^\u0001�r��*YDr���
[+] offset=16582 len=1552: MemAvailable:    8554792 kB\nBuffers: ...
[+] offset=18731 len=3908: Recv SyncookiesFailed EmbryonicRsts ...

[*] Total leaked: 8748 bytes
[*] Unique fragments: 42
[*] Saved to: leaked.bin

Testumgebung

Eine Docker-Compose-Datei ist enthalten, um eine anfällige MongoDB-Instanz zu starten:

docker-compose up -d
python3 mongobleed.py

Funktionsweise

Der Exploit erstellt BSON-Dokumente mit aufgeblähten Längenfeldern. Wenn der Server diese Dokumente analysiert, liest er Feldnamen aus nicht initialisiertem Speicher, bis er auf ein Nullbyte stößt. Jeder Test bei einer anderen Position kann unterschiedliche Speicherbereiche durchsickern lassen.

Durchgesickerte Daten können Folgendes umfassen:

• Interne MongoDB-Protokolle und -Status
• Konfiguration des WiredTiger-Speichermoduls
• System-/proc-Daten (meminfo, Netzwerkstatistiken)
• Docker-Container-Pfade
• Verbindungs-UUIDs und Client-IPs

Referenzen

• OX Security Advisory
• MongoDB Fix Commit

Autor

Joe Desimone - x.com/dez_

Haftungsausschluss

Dieses Tool ist nur für autorisierte Sicherheitstests bestimmt. Unbefugter Zugriff auf Computersysteme ist illegal.