CVE-2025-14847

CVE-2025-14847 Ambiente di vulnerabilità con un PoC

https://jira.mongodb.org/browse/SERVER-115508

RIEPILOGO

Questa è una correzione critica per affrontare CVE-2025-14847. Aggiornare alla versione 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 o 4.4.30.

DESCRIZIONE DEL PROBLEMA E IMPATTO

Un exploit lato client dell'implementazione zlib del server può restituire memoria heap non inizializzata senza autenticarsi al server. Raccomandiamo vivamente di aggiornare a una versione corretta il prima possibile.

Questo problema riguarda le versioni di MongoDB:

• MongoDB dalla 8.2.0 alla 8.2.3
• MongoDB dalla 8.0.0 alla 8.0.16
• MongoDB dalla 7.0.0 alla 7.0.26
• MongoDB dalla 6.0.0 alla 6.0.26
• MongoDB dalla 5.0.0 alla 5.0.31
• MongoDB dalla 4.4.0 alla 4.4.29
• Tutte le versioni di MongoDB Server v4.2
• Tutte le versioni di MongoDB Server v4.0
• Tutte le versioni di MongoDB Server v3.6

SOLUZIONE ALTERNATIVA

Si consiglia vivamente di aggiornare immediatamente.

Se non è possibile aggiornare immediatamente, disabilitare la compressione zlib sul server MongoDB avviando mongod o mongos con un'opzione networkMessageCompressors o net.compression.compressors che omette esplicitamente zlib. Esempi di valori sicuri includono snappy,zstd o disabled.

RISOLUZIONE

Aggiornare a MongoDB 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 o 4.4.30.

Collegamenti di Riferimento

• https://jira.mongodb.org/browse/SERVER-115508

• https://github.com/mongodb/mongo/commit/1264f9be5165abb0981f8023d2495652ab916699#diff-fd797e63d8e20a16cf0adcb6b5542f2124de9bf6f3afa913ba8d09d3022b11ac

• https://github.com/mongodb/mongo/blob/1264f9be5165abb0981f8023d2495652ab916699/src/mongo/transport/message_compressor_manager_test.cpp

Nota:

• Questo repository contiene contenuti generati da intelligenza artificiale.
• Remake da https://github.com/ProbiusOfficial/CVE-2025-14847
• Leggere HOW_TO_FIX.md per i dettagli sulla descrizione della correzione.