CVE-2025-14847 (MongoBleed) - PoC Funcional

Explotación de Fuga de Memoria en MongoDB - Ataque R6 Simulado

Prueba de Concepto Completa para CVE-2025-14847 (MongoBleed)
Probado: ✅ MongoDB 7.0.5 | 14.300+ Exploits Exitosos | 4 UUIDs Filtrados

🎯 Sobre el Proyecto

Este repositorio contiene una Prueba de Concepto (PoC) totalmente funcional para la vulnerabilidad CVE-2025-14847, conocida como MongoBleed, una falla crítica de divulgación de memoria heap previa a la autenticación en MongoDB.

Contexto: El Incidente de Rainbow Six Siege

En Diciembre de 2025, el juego Rainbow Six Siege sufrió un ataque masivo que comprometió ~50.000 cuentas de jugadores. Se sospecha que los atacantes explotaron esta vulnerabilidad en el MongoDB del backend para filtrar:

• 🔑 Tokens de autenticación de servidor (R6S_SERVER_AUTH_*)
• 👤 UUIDs de jugadores y session IDs
• 🛡️ Flags de privilegios administrativos (TOURNAMENT_ADMIN, DEV_BUILD_WHITELIST)

Este PoC simula el ataque con datos realistas de R6.

🔥 Características

• ✅ Exploit 100% Funcional contra MongoDB 7.0.5
• ✅ 3 Herramientas de Explotación:
  • poc.py - Exploit principal con análisis de patrones
  • live_leaker.py - Escaneo incremental avanzado
  • popular_heap.py - Script para poblar el heap con datos objetivo
• ✅ Entorno Docker Completo con MongoDB vulnerable
• ✅ 1500+ Documentos Simulados del backend R6
• ✅ Detección Automática de 10 patrones sensibles (JWT, tokens, UUIDs, IPs)
• ✅ Informes JSON estructurados
• ✅ Documentación Técnica Completa (200+ páginas)

📊 Resultados Validados

UUIDs Extraídos (Prueba Real)

246434ed-759b-4ce9-bb9c-2f520a9919b8
980ab3a7-0230-4718-aa2d-fb28feafd7f5
1052a310-4cdc-492f-9890-465d76baba9b
f20debfa-298d-48e3-b3b9-9a0e037c0fbd

🚀 Inicio Rápido

Requisitos previos

• Docker & Docker Compose
• Python 3.8+

Instalación

# Clone o repositório
git clone CVE-2025-14857-MongoBleed.git
cd MongoDBPoc

# Inicie o ambiente vulnerável
docker-compose up -d

# Aguarde inicialização (15-20s)
docker logs cve-2025-14847-lab | grep "R6 MASSIVE"

Uso Básico

# 1. Popular heap com dados R6
python3 popular_heap.py 50

# 2. Verificar vulnerabilidade
python3 poc.py --target 127.0.0.1 --check

# 3. Explorar com live leaker (RECOMENDADO)
timeout 30 python3 live_leaker.py --host 127.0.0.1 --min 200 --max 3000 --save results.json

Salida Esperada

[!] MongoBleed Live Leaker Avançado
[!] Alvo: 127.0.0.1:27017
[!] Faixa: doc_len 200 → 3000 (offset=500)

[*] Progresso: doc_len=245/3000 | Tentativas=100 | Taxa sucesso=100.0%

[!] PADRÕES R6 DETECTADOS (doc_len=245):
    [UUID] 1 novo(s):
      └─ 246434ed-759b-4ce9-bb9c-2f520a9919b8

🔬 Cómo Funciona

Mecanismo de la Vulnerabilidad

MongoDB permite la compresión de mensajes vía zlib. La vulnerabilidad está en la validación inadecuada del tamaño declarado vs. el real:

Atacante → {compress: "zlib", uncompressedSize: 1MB, payload: <50 bytes>}
          ↓
Servidor aloca 1MB de heap  ← VULNERABILIDADE
          ↓
Servidor descomprime apenas 50 bytes
          ↓
Servidor retorna 1MB inteiro!
          └─ 50 bytes = dados reais
          └─ ~1MB - 50 = VAZAMENTO DE MEMÓRIA

Código Vulnerable (Simplificado)

// ANTES DO PATCH
size_t uncompressedSize = header.uncompressedSize;  // ← Controlado pelo atacante
buffer = malloc(uncompressedSize);                  // ← Aloca tamanho malicioso
zlib_decompress(compressed, buffer);
send(buffer, uncompressedSize);                     // ← VAZA BUFFER INTEIRO

📂 Estructura del Proyecto

MongoDBPoc/
├── poc.py                          # Exploit principal
├── live_leaker.py                  # Varredura incremental (✨ Recomendado)
├── popular_heap.py                 # Script de carga
├── docker-compose.yml              # MongoDB 7.0.5 vulnerável
├── init-db.js                      # 1000 players + 500 sessions R6
├── GUIA_TECNICO_COMPLETO.md       # Documentação detalhada (200+ páginas)
├── README.MD                       # Documentação em inglês
└── Portugues/                      # Versões traduzidas
    ├── poc_PT.py
    ├── README_PT.md
    └── GUIA_RAPIDO.md

🛡️ Versiones Afectadas

🛡️ Detección y Defensa

Firma Snort

alert tcp any any -> any 27017 (
    msg:"CVE-2025-14847 MongoBleed Attempt";
    content:"|d4 07 00 00|";
    byte_test:4,>,1000000,4,little;
    sid:2025001;
)

Configuración Segura (mongod.conf)

net:
  bindIp: 127.0.0.1              # NUNCA 0.0.0.0!
  compression:
    compressors: []              # Desabilitar zlib

security:
  authorization: enabled

Prioridades de Mitigación

1. 🔴 CRÍTICO: Actualizar a la versión corregida
2. 🟠 ALTA: Deshabilitar la compresión zlib
3. 🟠 ALTA: Segmentar la red (firewall)
4. 🟡 MEDIA: Habilitar la autenticación

📚 Documentación

• GUIA_TECNICO_COMPLETO.md - Análisis técnico completo (200+ páginas)

  • Contexto del incidente R6
  • Mecanismo de la vulnerabilidad
  • Código vulnerable vs. corregido
  • Ejecución paso a paso
  • Resultados y estadísticas
  • Firmas IDS y hardening

• README.MD - Documentación principal (inglés)

• Portugues/ - Versiones traducidas

⚠️ Aviso Legal

ESTA FERRAMENTA É APENAS PARA TESTES AUTORIZADOS E EDUCAÇÃO.

Uso não autorizado é ILEGAL e pode resultar em:
- Processos criminais (Lei 12.737/2012 no Brasil)
- Multas pesadas
- Prisão

Sempre obtenha PERMISSÃO POR ESCRITO antes de testar.

Uso Permitido

• ✅ Pruebas de penetración con autorización por escrito
• ✅ Investigación académica en entornos aislados
• ✅ Verificación de parches de proveedores
• ✅ Entrenamiento de equipos de seguridad

Uso Prohibido

• ❌ Escaneo o ataque de sistemas sin permiso
• ❌ Acceso a bases de datos de producción
• ❌ Venta o weaponización de este código

🙏 Créditos

Autor: Ermenson Jr
Licencia: MIT (Uso Educacional)
Fecha: Enero 2026

Referencias

• MongoDB Security Advisory
• CVE-2025-14847 NVD
• Akamai SIRT: MongoBleed Analysis
• Aikido Security

📧 Contacto

Para cuestiones técnicas o colaboración en investigaciones de seguridad:

• GitHub Issues: Usa la pestaña Issues de este repositorio
• Email Académico: Disponible en el perfil de GitHub

🌟 Si Este Proyecto Fue Útil

• ⭐ Da una estrella a este repositorio
• 🔄 Compártelo con la comunidad de seguridad
• 📝 Cítalo en tus investigaciones académicas
• 🐛 Reporta bugs o mejoras vía Issues

_{Desarrollado para investigación en seguridad ofensiva responsable.
No afiliado a Ubisoft, MongoDB Inc., ni Rainbow Six Siege.}

🔒 Usa con responsabilidad. La seguridad es para todos. 🔒