mongobleed

CVE-2025-14847 - Explotación de fuga de memoria no autenticada en MongoDB

Un exploit de prueba de concepto para la vulnerabilidad de descompresión zlib de MongoDB que permite a atacantes no autenticados filtrar memoria sensible del servidor.

Vulnerabilidad

Un fallo en la descompresión de mensajes zlib de MongoDB devuelve el tamaño del búfer asignado en lugar de la longitud real de los datos descomprimidos. Esto permite a los atacantes leer memoria no inicializada mediante:

1. Enviar un mensaje comprimido con una afirmación uncompressedSize inflada
2. MongoDB asigna un búfer grande basado en la afirmación del atacante
3. zlib descomprime los datos reales al inicio del búfer
4. El error hace que MongoDB trate todo el búfer como datos válidos
5. El análisis BSON lee "nombres de campo" de la memoria no inicializada hasta encontrar bytes nulos

Versiones afectadas

Uso

# Basic scan (offsets 20-8192)
python3 mongobleed.py --host <target>

# Deep scan for more data
python3 mongobleed.py --host <target> --max-offset 50000

# Custom range
python3 mongobleed.py --host <target> --min-offset 100 --max-offset 20000

Opciones

Ejemplo de salida

[*] mongobleed - CVE-2025-14847 MongoDB Memory Leak
[*] Author: Joe Desimone - x.com/dez_
[*] Target: localhost:27017
[*] Scanning offsets 20-50000

[+] offset=  117 len=  39: ssions^\u0001�r��*YDr���
[+] offset=16582 len=1552: MemAvailable:    8554792 kB\nBuffers: ...
[+] offset=18731 len=3908: Recv SyncookiesFailed EmbryonicRsts ...

[*] Total leaked: 8748 bytes
[*] Unique fragments: 42
[*] Saved to: leaked.bin

Entorno de prueba

Se incluye un archivo Docker Compose para levantar una instancia vulnerable de MongoDB:

docker-compose up -d
python3 mongobleed.py

Cómo funciona

El exploit crea documentos BSON con campos de longitud inflados. Cuando el servidor analiza estos documentos, lee nombres de campo de la memoria no inicializada hasta encontrar un byte nulo. Cada sonda en un desplazamiento diferente puede filtrar diferentes regiones de memoria.

Los datos filtrados pueden incluir:

• Registros internos y estado de MongoDB
• Configuración del motor de almacenamiento WiredTiger
• Datos del sistema /proc (meminfo, estadísticas de red)
• Rutas de contenedores Docker
• UUIDs de conexión y direcciones IP de clientes

Referencias

• Aviso de seguridad de OX
• Commit de corrección de MongoDB

Autor

Joe Desimone - x.com/dez_

Descargo de responsabilidad

Esta herramienta es solo para pruebas de seguridad autorizadas. El acceso no autorizado a sistemas informáticos es ilegal.