mongobleed

CVE-2025-14847 - Exploit de fuite de mémoire MongoDB sans authentification

Un exploit de preuve de concept de la vulnérabilité de décompression zlib de MongoDB qui permet à des attaquants sans authentification de divulguer la mémoire sensible du serveur.

Vulnérabilité

Un défaut dans la décompression des messages zlib de MongoDB renvoie la taille du tampon alloué au lieu de la longueur réelle des données décompressées. Cela permet aux attaquants de lire de la mémoire non initialisée en :

1. Envoyant un message compressé avec une déclaration uncompressedSize gonflée
2. MongoDB alloue un grand tampon en fonction de la déclaration de l'attaquant
3. zlib décompresse les données réelles au début du tampon
4. Le bug amène MongoDB à traiter l'intégralité du tampon comme des données valides
5. L'analyse BSON lit les « noms de champs » depuis la mémoire non initialisée jusqu'aux octets nuls

Versions concernées

Utilisation

# Basic scan (offsets 20-8192)
python3 mongobleed.py --host <target>

# Deep scan for more data
python3 mongobleed.py --host <target> --max-offset 50000

# Custom range
python3 mongobleed.py --host <target> --min-offset 100 --max-offset 20000

Options

Exemple de sortie

[*] mongobleed - CVE-2025-14847 MongoDB Memory Leak
[*] Author: Joe Desimone - x.com/dez_
[*] Target: localhost:27017
[*] Scanning offsets 20-50000

[+] offset=  117 len=  39: ssions^\u0001�r��*YDr���
[+] offset=16582 len=1552: MemAvailable:    8554792 kB\nBuffers: ...
[+] offset=18731 len=3908: Recv SyncookiesFailed EmbryonicRsts ...

[*] Total leaked: 8748 bytes
[*] Unique fragments: 42
[*] Saved to: leaked.bin

Environnement de test

Un fichier Docker Compose est inclus pour démarrer une instance MongoDB vulnérable :

docker-compose up -d
python3 mongobleed.py

Comment ça marche

L'exploit fabrique des documents BSON avec des champs de longueur gonflés. Lorsque le serveur analyse ces documents, il lit les noms de champs depuis la mémoire non initialisée jusqu'à ce qu'il rencontre un octet nul. Chaque sonde à un décalage différent peut fuiter différentes régions mémoire.

Les données fuitées peuvent inclure :

• Les journaux internes et l'état de MongoDB
• La configuration du moteur de stockage WiredTiger
• Les données système /proc (meminfo, statistiques réseau)
• Les chemins des conteneurs Docker
• Les UUID de connexion et les adresses IP des clients

Références

• Avis de sécurité OX Security
• Commit de correction MongoDB

Auteur

Joe Desimone - x.com/dez_

Avertissement

Cet outil est réservé aux tests de sécurité autorisés uniquement. L'accès non autorisé aux systèmes informatiques est illégal.