CVE-2025-23061 - Mongoose コマンドインジェクション

Mongoose < 8.9.5 の populate() 関数の match オプションに影響するコマンドインジェクション脆弱性の概念実証です。

脆弱性の詳細

CVE ID: CVE-2025-23061
重要度: CRITICAL (CVSS 9.0)
影響を受けるパッケージ: mongoose
影響を受けるバージョン:

• < 6.13.6

• = 7.0.0 < 7.8.4

• = 8.0.0 < 8.9.5

CVE-2024-53900 および CVE-2025-23061 のタイムライン

• 2024年11月7日: Dat Phung は Mongoose の重大な脆弱性を特定し、Snyk にセキュリティレポートを提出しました。
• 2024年11月26日: Mongoose はこの脆弱性に対処して修正するため、バージョン 8.8.3 をリリースしました。
• 2024年12月2日: National Vulnerability Database (NVD) は、この脆弱性について CVE-2024-53900 を公開しました。
• 2024年12月17日: Dat Phung は Mongoose の 8.8.3 パッチを分析し、依然として RCE (リモートコード実行) を可能にするバイパスを発見しました。詳細なセキュリティレポートは Tidelift に提出されました。
• 2025年1月13日: Mongoose はバージョン 8.9.5 をリリースし、バイパスに効果的に対処する強化されたパッチを導入しました。
• 2025年1月15日: National Vulnerability Database (NVD) は、新たに特定された脆弱性の重大性を強調し、CVE-2025-23061 を正式に公開しました。

根本原因

この脆弱性は、CVE-2024-53900 の不完全な修正に起因します。直接の $where インジェクションはブロックされていますが、攻撃者は 演算子を や などの論理演算子内にネストすることで、この保護をバイパスできます。