Eric Capuano¹ ने MongoBleed (CVE-2025-14847) और देखने योग्य संकेतकों पर एक उत्कृष्ट ब्लॉग पोस्ट किया है। Joe Desimone² का PoC दर्शाता है कि मेमोरी लीक एक्सप्लॉइट कैसे काम करता है और Kevin Beaumont³ ने इस कमजोरी पर एक उत्कृष्ट लेख लिखा है (संदर्भ अनुभाग में लिंक देखें)।

MongoBleed Triage Script

यह स्क्रिप्ट पहले सुरक्षित आर्टिफैक्ट अधिग्रहण पर ध्यान केंद्रित करती है, उसके बाद वैकल्पिक ऑन-होस्ट विश्लेषण करती है, और एक पोर्टेबल, हैशेड फोरेंसिक आर्काइव बनाती है जो फोरेंसिक वर्कस्टेशन पर ऑफलाइन जांच के लिए उपयुक्त है।

PoC मेमोरी लीक प्रदर्शित कर रहा है

ट्राइएज स्क्रिप्ट चलाना

विषय सूची

• उद्देश्य
• स्क्रिप्ट क्या करती है
• समय-सीमित लॉग फ़िल्टरिंग
• वैकल्पिक ऑन-होस्ट विश्लेषण
• आउटपुट
• डिज़ाइन सिद्धांत
• महत्वपूर्ण नोट्स
• लक्षित दर्शक
• संदर्भ
• लाइसेंस

उद्देश्य

MongoBleed एक्सप्लॉइटेशन न्यूनतम स्थायी आर्टिफैक्ट छोड़ता है और अक्सर उच्च-गति वाले अप्रमाणित कनेक्शनों और मेटाडेटा एनुमरेशन पर निर्भर करता है।

यह स्क्रिप्ट प्रतिक्रियाकर्ताओं की मदद करती है:

• PoC खुलासे से शुरू करके एक्सपोज़र का दायरा तय करना
• संदिग्ध कनेक्शन गति की पहचान करना
• मेटाडेटा एक्सफिल्ट्रेशन संकेतकों का पता लगाना
• होस्ट और डॉकर-आधारित MongoDB सबूतों को संरक्षित करना
• फोरेंसिक रूप से सुदृढ़ प्रारूप में आर्टिफैक्ट पैकेज करना

स्क्रिप्ट क्या करती है

सबूत संग्रह (हमेशा चलता है)

• MongoDB कॉन्फ़िगरेशन और संस्करण जानकारी एकत्र करता है
• होस्ट सिस्टम से MongoDB लॉग कॉपी करता है
• MongoDB चलाने वाले डॉकर कंटेनरों की सूची बनाता है
• कंटेनर लॉग, कॉन्फ़िग, सॉकेट स्थिति और FD सूची निकालता है
• सिस्टम संदर्भ (होस्टनेम, कर्नेल, टाइमस्टैम्प) कैप्चर करता है

समय-सीमित लॉग फ़िल्टरिंग

• सार्वजनिक PoC रिलीज़ के अनुरूप एक निश्चित प्रारंभ समय (2024-12-24) का उपयोग करता है
• एक गतिशील अंत समय (निष्पादन समय) का उपयोग करता है
• लॉग को केवल घटना विंडो के भीतर फ़िल्टर करता है

वैकल्पिक ऑन-होस्ट विश्लेषण

यदि jq स्थापित है:

• MongoDB लॉग से कनेक्शन और मेटाडेटा घटनाएँ निकालता है
• स्रोत IP द्वारा कनेक्शन समूहित करता है
• गणना करता है:
  • कुल कनेक्शन
  • मेटाडेटा अनुरोध अनुपात
  • कनेक्शन गति (प्रति मिनट)
• उच्च-विश्वास एक्सप्लॉइटेशन पैटर्न को फ्लैग करता है

यदि jq स्थापित नहीं है:

• सुरक्षित रूप से विश्लेषण छोड़ देता है
• ऑफलाइन विश्लेषण के लिए सभी कच्चे आर्टिफैक्ट संरक्षित करता है
• फोरेंसिक पैकेजिंग
• सभी एकत्रित आर्टिफैक्ट का एक संपीड़ित .tar.gz आर्काइव बनाता है
• SHA256 और MD5 हैश उत्पन्न करता है
• ट्रांसफर के लिए तैयार एक एकल अटल सबूत पैकेज तैयार करता है

आउटपुट

स्क्रिप्ट उत्पन्न करती है:

• एक संरचित आर्टिफैक्ट निर्देशिका
• एक संपीड़ित फोरेंसिक आर्काइव
• अखंडता सत्यापन के लिए क्रिप्टोग्राफ़िक हैश
• सभी विश्लेषण प्रभावित होस्ट पर स्क्रिप्ट दोबारा चलाए बिना ऑफलाइन दोहराए जा सकते हैं।
• निष्पादन के बाद का लेआउट (आधिकारिक)

डिज़ाइन सिद्धांत

• पहले संग्रह (लक्ष्य पर विश्लेषण कभी आवश्यक नहीं)
• गैर-विनाशकारी (केवल-पढ़ने के संचालन)
• बचाव योग्य (टाइमस्टैम्प्ड, हैशेड, दोहराने योग्य)
• डॉकर-जागरूक
• न्यूनतम निर्भरताएँ

महत्वपूर्ण नोट्स

• यह स्क्रिप्ट घटना प्रतिक्रिया और फोरेंसिक ट्राइएज के लिए अभिप्रेत है
• यह MongoDB स्थिति को संशोधित नहीं करती
• पहचान व्यवहारिक संकेतकों पर आधारित है, हस्ताक्षरों पर नहीं
• निष्कर्षों की अनुपस्थिति समझौते की अनुपस्थिति की गारंटी नहीं देती

लक्षित दर्शक

• घटना प्रतिक्रियाकर्ता
• DFIR विश्लेषक
• SOC इंजीनियर
• क्लाउड सुरक्षा टीमें
• डिजिटल फोरेंसिक परीक्षक

संदर्भ

लाइसेंस

• जिम्मेदारी से उपयोग करें, संशोधित करें और अनुकूलित करें। एट्रिब्यूशन की सराहना की जाती है।

Footnotes

1. मूल शोध: Hunting MongoBleed (CVE-2025-14847) Eric Capuano द्वारा ↩

2. MongoBleed PoC Joe Desimone द्वारा ↩

3. MongoDB Security Incident Kevin Beaumont द्वारा ↩