franksec42/mongobleed-exploit-cve-2025-14847Explot, Lab, Scanner - बाहरी और डॉकर कंटेनर, SMongobleed-CVE-2025-14847 के लिए, साथ ही Phoenix सुरक्षा अपलोडर
CVE-2025-14847 | CVSS 8.7 (उच्च) | बिना प्रमाणीकरण के मेमोरी डिस्क्लोज़र
CVE-2025-14847, जिसे MongoBleed नाम दिया गया है, बिना प्रमाणीकरण वाले रिमोट हमलावरों को MongoDB के zlib डिकंप्रेशन लॉजिक का फायदा उठाकर अप्रारंभित हीप मेमोरी निकालने की अनुमति देता है। यह उच्च-गंभीरता वाला दोष संवेदनशील आर्टिफैक्ट्स को उजागर करता है, जिनमें सादे-पाठ क्रेडेंशियल्स और सत्र टोकन शामिल हैं, जो लेटरल मूवमेंट और पूर्ण सर्वर अधिग्रहण के लिए एक रोडमैप प्रदान करता है।
| पहलू | विवरण |
|---|---|
| क्या कमजोर है | MongoDB सर्वर नेटवर्क ट्रांसपोर्ट परत जो zlib कम्प्रेशन का उपयोग करती है |
| गंभीरता | उच्च (CVSS 8.7/7.5) |
| प्रभाव | बिना प्रमाणीकरण के, अप्रारंभित हीप मेमोरी का रिमोट डिस्क्लोज़र |
| यह क्यों मायने रखता है | लीक हुए टुकड़ों में डेटाबेस पासवर्ड, AWS सीक्रेट कुंजियाँ और आंतरिक सर्वर स्थितियाँ होती हैं |
| एक्सप्लॉइट स्थिति | सार्वजनिक प्रूफ-ऑफ-कॉन्सेप्ट (PoC) "mongobleed" मान्य है और प्रसारित हो रहा है |
| आज क्या करें | तुरंत पैच किए गए संस्करणों में अपग्रेड करें या zlib कम्प्रेशन अक्षम करें |
यह कमजोरी MongoDB के नेटवर्क ट्रांसपोर्ट परत (message_compressor_zlib.cpp) में मौजूद है, जहाँ zlib डिकंप्रेशन लॉजिक में एक गंभीर दोष बिना प्रमाणीकरण वाले हमलावरों को संवेदनशील सर्वर मेमोरी लीक करने की अनुमति देता है।
// VULNERABLE CODE (before fix)
counterHitDecompress(input.length(), output.length());
return {output.length()}; // ❌ Returns ALLOCATED buffer size
// PATCHED CODE (after fix)
counterHitDecompress(input.length(), output.length());
return length; // ✅ Returns ACTUAL decompressed data length
┌─────────────────────────────────────────────────────────────────────────────┐
│ MongoBleed Attack Vector │
├─────────────────────────────────────────────────────────────────────────────┤
│ │
│ ATTACKER VULNERABLE MongoDB │
│ │ │ │
│ │ 1. Send OP_COMPRESSED message │ │
│ │ uncompressedSize: 8192 (LIE) │ │
│ │ actual data: ~100 bytes │ │
│ │────────────────────────────────────> │
│ │ │ │
│ │ 2. Allocate 8192-byte buffer │
│ │ 3. Decompress ~100 bytes │
│ │ 4. BUG: Return buffer.length() = 8192 │
│ │ 5. BSON parser reads uninitialized memory │
│ │ │ │
│ │ 6. Error response with leaked │ │
│ │ memory as "field names" │ │
│ │<──────────────────────────────────── │
│ │ │ │
│ 🔓 LEAKED DATA: │ │
│ - API keys, passwords, tokens │
│ - MongoDB internal state │
│ - WiredTiger storage configs │
│ - System /proc information │
│ - Client connection data │
│ │
└─────────────────────────────────────────────────────────────────────────────┘
| संस्करण | कमजोर सीमा | फिक्स्ड संस्करण | स्थिति |
|---|---|---|---|
| 8.2.x | 8.2.0 - 8.2.2 | 8.2.3 | ✅ पैच किया गया |
| 8.0.x | 8.0.0 - 8.0.16 | 8.0.17 | ✅ पैच किया गया |
| 7.0.x | 7.0.0 - 7.0.27 | 7.0.28 | ✅ पैच किया गया |
| 6.0.x | 6.0.0 - 6.0.26 | 6.0.27 | ✅ पैच किया गया |
| 5.0.x | 5.0.0 - 5.0.31 | 5.0.32 | ✅ पैच किया गया |
| 4.4.x | 4.4.0 - 4.4.29 | 4.4.30 | ✅ पैच किया गया |
| 4.2.x | सभी संस्करण | कोई नहीं | ⚠️ EOL |
| 4.0.x | सभी संस्करण | कोई नहीं | ⚠️ EOL |
| 3.6.x | सभी संस्करण | कोई नहीं | ⚠️ EOL |
| तिथि | घटना |
|---|---|
| 15 दिसंबर 2025 | कमजोरी की पहचान की गई; आंतरिक टिकट SERVER-115508 |
| 19 दिसंबर 2025 | फिक्स जारी किया गया, CVE-2025-14847 सार्वजनिक किया गया |
| 24 दिसंबर 2025 | MongoDB Atlas फ्लीट पैच किया गया |
| 26 दिसंबर 2025 | सार्वजनिक PoC "mongobleed" जारी किया गया |
| 28 दिसंबर 2025 | वास्तविक वातावरण में एक्सप्लॉइटेशन देखा गया |
mongobleed-exploit-CVE-2025-14847/
├── exploit/ # 🔴 Exploit Lab
│ ├── docker-compose.yml # Vulnerable + Patched MongoDB instances
│ ├── mongobleed.py # Memory leak exploit PoC
│ ├── init/init-mongo.js # Sensitive test data
│ ├── test-exploit.sh # Lab test script
│ └── README.md # Lab documentation
│
├── scanner/ # 🌐 Network Scanner
│ ├── mongobleed_scanner.py # IP/domain vulnerability scanner
│ ├── sample-targets.txt # Sample targets file
│ └── README.md # Scanner documentation
│
├── code-scan/ # 📂 Code Scanner
│ ├── main.py # CLI entry point
│ ├── scanners/ # Docker, Python, Infra scanners
│ ├── models/ # Finding, Vulnerability models
│ ├── integrations/ # Phoenix Security upload
│ └── README.md # Code scanner documentation
│
└── original-exploit/ # 📚 Original PoC reference
cd exploit
# Start lab (vulnerable + patched instances)
docker-compose up -d
sleep 10
# Test vulnerable instance (should leak memory)
python3 mongobleed.py --host localhost --port 27017
# Test patched instance (should NOT leak memory)
python3 mongobleed.py --host localhost --port 27018
# Full lab test
./test-exploit.sh
cd scanner
# Scan single host
python3 mongobleed_scanner.py 192.168.1.100
# Scan network range
python3 mongobleed_scanner.py 192.168.1.0/24
# Scan from file
python3 mongobleed_scanner.py @sample-targets.txt --json --output results.json
cd code-scan
# Scan project for vulnerable MongoDB versions
python3 main.py scan /path/to/project
# Scan and upload to Phoenix
python3 main.py scan /path/to/project --upload-phoenix
# Run tests
python3 main.py test
# === EXPLOIT LAB ===
# Start lab
cd exploit && docker-compose up -d && sleep 10
# Run exploit (vulnerable instance)
python3 exploit/mongobleed.py --host localhost --port 27017
# Run exploit (patched instance - verify no leaks)
python3 exploit/mongobleed.py --host localhost --port 27018