MongoBleed (CVE-2025-14847)

MongoBleed एक उच्च-प्रदर्शन PoC स्कैनर है CVE-2025-14847 के लिए, जो MongoDB C++ ड्राइवर में एक प्री-ऑथेंटिकेशन हीप मेमोरी प्रकटीकरण भेद्यता है। यह टूल बड़े नेटवर्क रेंज में कमजोर इंस्टेंस की तेजी से पहचान के लिए डिज़ाइन किया गया है।

तकनीकी विश्लेषण

यह भेद्यता MongoDB वायर प्रोटोकॉल में OP_COMPRESSED संदेशों के हैंडलिंग में एक आउट-ऑफ-बाउंड (OOB) पढ़ने से उत्पन्न होती है।

जब कोई सर्वर OP_COMPRESSED पैकेट प्राप्त करता है, तो वह डीकंप्रेसन के लिए बफर आवंटित करने हेतु हमलावर द्वारा प्रदान किए गए uncompressedSize फ़ील्ड पर निर्भर करता है। यदि वास्तविक डीकंप्रेस्ड डेटा दावा किए गए uncompressedSize से काफी छोटा है, तो ड्राइवर बफर को ट्रंकेट या साफ़ करने में विफल रहता है। परिणामस्वरूप, सर्वर संपूर्ण आवंटित मेमोरी ब्लॉक लौटाता है, जिसमें अप्रारंभीकृत हीप डेटा हो सकता है, संभावित रूप से संवेदनशील जानकारी जैसे सत्र टोकन, आंतरिक पॉइंटर्स, या अन्य डेटाबेस क्वेरी के टुकड़े उजागर हो सकते हैं।

विशेषताएँ

• उच्च-समवर्ती स्कैनिंग के लिए Python asyncio का उपयोग करते हुए अतुल्यकालिक I/O
• अनुरोधित लीक आकार के विरुद्ध प्रतिक्रिया लंबाई को मान्य करके सटीक पहचान
• सत्यापित प्रोटोकॉल-स्तरीय इंटरैक्शन के माध्यम से न्यूनतम झूठी सकारात्मकता
• कमजोर लक्ष्यों को vulnerable_targets.txt में स्वचालित रूप से लॉग करना

स्थापना

git clone https://github.com/Black1hp/mongobleed-scanner/
cd mongobleed-scanner

कोई बाहरी निर्भरता आवश्यक नहीं (केवल Python मानक पुस्तकालय)।

उपयोग

मूल उपयोग:

python3 mongobleed.py -i targets.txt

उन्नत कॉन्फ़िगरेशन:

python3 mongobleed.py -i targets.txt -c 100 -t 5

विकल्प

• -i : लक्ष्यों वाली इनपुट फ़ाइल (IP, डोमेन, या IP:पोर्ट)
• -c : समवर्ती स्तर (डिफ़ॉल्ट: 50)
• -t : कनेक्शन टाइमआउट सेकंड में (डिफ़ॉल्ट: 5)

पहचान तर्क

स्कैनर BSON डीकंप्रेसन चरण के दौरान आकार बेमेल का शोषण करके भेद्यता की पहचान करता है:

1. स्कैनर एक निर्मित OP_COMPRESSED पैकेट भेजता है जिसमें एक छोटा zlib-संपीडित पेलोड होता है, उदाहरण के लिए 16-30 बाइट्स .
2. पैकेट हेडर में uncompressedSize फ़ील्ड जानबूझकर बहुत बड़े मान (जैसे, 64KB) पर सेट किया जाता है।
3. कमजोर (VULNERABLE) स्थिति की पुष्टि की जाती है यदि MongoDB सर्वर वास्तविक डीकंप्रेस्ड पेलोड आकार के बजाय अनुरोधित बड़े बफर आकार के अनुरूप MessageLength के साथ प्रतिक्रिया करता है।
4. सर्वर प्रतिक्रिया लंबाई को परिभाषित करने के लिए हमलावर-प्रदत्त uncompressedSize पर विश्वासपूर्वक उपयोग करता है। चूंकि यह डीकंप्रेसन के दौरान लिखे गए वास्तविक बाइट्स के साथ इस लंबाई को अपडेट करने में विफल रहता है, यह आँख बंद करके संपूर्ण आवंटित हीप बफर—अप्रारंभीकृत मेमोरी सहित—क्लाइंट को स्ट्रीम करता है।
5. स्कैनर स्ट्रीम से अतिरिक्त बाइट्स पढ़कर प्रतिक्रिया को मान्य करता है, जो सर्वर की हीप मेमोरी के अप्रारंभीकृत टुकड़ों का प्रतिनिधित्व करते हैं।

Proof of Concept

नोट: उपरोक्त वीडियो स्कैनर द्वारा कई कमजोर इंस्टेंस की पहचान करने और वास्तविक समय में हीप टुकड़ों को कैप्चर करने को प्रदर्शित करता है।

लेखक

Black1hp सुरक्षा शोधकर्ता | बग हंटर | रेड टीमर

• गिटहब: https://github.com/black1hp
• एक्स (ट्विटर): https://x.com/black1hp
• मीडियम: https://medium.com/@black1hp
• लिंक्डइन: https://www.linkedin.com/in/black1hp/

अस्वीकरण

यह टूल केवल अधिकृत सुरक्षा परीक्षण और अनुसंधान उद्देश्यों के लिए है। लेखक इस टूल के किसी भी अनधिकृत उपयोग या इससे होने वाली क्षति के लिए जिम्मेदार नहीं है।