CVE-2025-14847

CVE-2025-14847 취약점 환경 및 poc 포함

https://jira.mongodb.org/browse/SERVER-115508

요약

이는 CVE-2025-14847을 해결하기 위한 중대한 수정입니다. 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 또는 4.4.30으로 업그레이드하세요.

문제 설명 및 영향

서버의 zlib 구현에 대한 클라이언트 측 익스플로잇을 통해 서버에 인증하지 않고도 초기화되지 않은 힙 메모리를 반환받을 수 있습니다. 수정된 버전으로 가능한 한 빨리 업그레이드할 것을 강력히 권장합니다.

이 문제는 다음 MongoDB 버전에 영향을 미칩니다:

• MongoDB 8.2.0부터 8.2.3까지
• MongoDB 8.0.0부터 8.0.16까지
• MongoDB 7.0.0부터 7.0.26까지
• MongoDB 6.0.0부터 6.0.26까지
• MongoDB 5.0.0부터 5.0.31까지
• MongoDB 4.4.0부터 4.4.29까지
• 모든 MongoDB Server v4.2 버전
• 모든 MongoDB Server v4.0 버전
• 모든 MongoDB Server v3.6 버전

임시 해결책

즉시 업그레이드할 것을 강력히 권장합니다.

즉시 업그레이드할 수 없다면 mongod 또는 mongos를 시작할 때 zlib을 명시적으로 제외하는 networkMessageCompressors 또는 net.compression.compressors 옵션을 사용하여 MongoDB Server의 zlib 압축을 비활성화하세요. 안전한 값의 예로는 snappy,zstd 또는 disabled가 있습니다.

수정 조치

MongoDB 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 또는 4.4.30으로 업그레이드하세요.

참조 링크:

• https://jira.mongodb.org/browse/SERVER-115508

• https://github.com/mongodb/mongo/commit/1264f9be5165abb0981f8023d2495652ab916699#diff-fd797e63d8e20a16cf0adcb6b5542f2124de9bf6f3afa913ba8d09d3022b11ac

• https://github.com/mongodb/mongo/blob/1264f9be5165abb0981f8023d2495652ab916699/src/mongo/transport/message_compressor_manager_test.cpp

참고: 이 저장소에는 AI가 생성한 콘텐츠가 포함되어 있습니다.