MongoBleed (CVE-2025-14847)

MongoBleed は、CVE-2025-14847（MongoDB C++ ドライバーにおける認証前のヒープメモリ開示脆弱性）のための高性能 PoC スキャナーです。 このツールは、大規模なネットワーク範囲にわたる脆弱なインスタンスの迅速な特定のために設計されています。

技術分析

この脆弱性は、MongoDB ワイヤープロトコルにおける OP_COMPRESSED メッセージの処理での範囲外読み取り (OOB) に起因します。

サーバーが OP_COMPRESSED パケットを受信すると、攻撃者が指定した uncompressedSize フィールドに依存して展開用のバッファを割り当てます。実際の展開済みデータが宣言された uncompressedSize よりも大幅に小さい場合、ドライバーはバッファを切り詰めたりクリアしたりしません。その結果、サーバーは割り当てられたメモリブロック全体を返却し、未初期化のヒープデータが含まれる可能性があります。これにより、セッショントークン、内部ポインタ、他のデータベースクエリの断片などの機密情報が漏洩する可能性があります。

特徴

• Python の asyncio を使用した非同期 I/O による高並列スキャン
• 要求されたリークサイズに対する応答長を検証することで正確な検出
• 検証済みのプロトコルレベルインタラクションによる最小限の誤検出
• 脆弱なターゲットの vulnerable_targets.txt への自動ログ記録

インストール

git clone https://github.com/Black1hp/mongobleed-scanner/
cd mongobleed-scanner

外部依存関係は不要です（Python 標準ライブラリのみ）。

使用方法

基本的な使用方法：

python3 mongobleed.py -i targets.txt

高度な設定：

python3 mongobleed.py -i targets.txt -c 100 -t 5

オプション

• -i : ターゲットを含む入力ファイル（IP、ドメイン、または IP:ポート）
• -c : 並列数（デフォルト: 50）
• -t : 接続タイムアウト（秒）（デフォルト: 5）

検出ロジック

スキャナーは、BSON 展開フェーズ中のサイズ不一致を悪用して脆弱性を特定します。

1. スキャナーは、例えば 16～30 バイトの小さな zlib 圧縮ペイロードを含む細工された OP_COMPRESSED パケットを送信します。
2. パケットヘッダーの uncompressedSize フィールドは意図的にはるかに大きな値（例：64KB）に設定されます。
3. MongoDB サーバーが実際の展開済みペイロードサイズではなく、要求された大きなバッファサイズに合致する MessageLength で応答した場合、VULNERABLE 状態が確認されます。
4. サーバーは攻撃者が提供した uncompressedSize を信頼して応答長を決定します。展開中に書き込まれた実際のバイトでこの長さを更新しないため、未初期化メモリを含む割り当てられたヒープバッファ全体をクライアントに盲目的にストリーミングします。
5. スキャナーは、ストリームから余分なバイト（サーバーのヒープメモリの未初期化断片を表す）を読み取ることで応答を検証します。

概念実証

注: 上記のビデオは、スキャナーが複数の脆弱なインスタンスを特定し、ヒープ断片をリアルタイムでキャプチャする様子を示しています。

著者

Black1hp セキュリティ研究者 | バグハンター | レッドチーマー

• GitHub: https://github.com/black1hp
• X (Twitter): https://x.com/black1hp
• Medium: https://medium.com/@black1hp
• LinkedIn: https://www.linkedin.com/in/black1hp/

免責事項

このツールは、認可されたセキュリティテストおよび研究目的のみを対象としています。 著者は、このツールの不正使用またはこれに起因する損害について一切の責任を負いません。