rishi-kaul/cve-2025-14847-mongobleedCVE-2025-14847(MongoBleed)에 대한 기술 분석 및 대응 가이드입니다. 이는 MongoDB zlib 압축에서 발생하는 높은 심각도의 메모리 노출 취약점입니다. 탐지 방법, 로그 분석 명령어, 완화 단계, 그리고 사후 침해 대응 절차를 포함합니다.
CVE-2025-14847, 일반적으로 MongoBleed로 알려져 있으며, :contentReference[oaicite:0]{index=0} Server에 영향을 미치는 높은 심각도의 정보 노출 취약점입니다.
이 취약점은 원격의 인증되지 않은 공격자가 zlib 압축 네트워크 메시지를 부적절하게 처리하는 것을 악용하여 서버 메모리에서 민감한 데이터를 유출할 수 있게 합니다.
이 문제는 실제 환경에서 활발히 악용되고 있으며, 기본 압축 구성을 사용하는 MongoDB 배포에 영향을 미칩니다.
MongoDB는 기본적으로 활성화된 zlib을 사용한 네트워크 메시지 압축을 지원합니다.
취약점은 zlib 압축 해제 로직에 존재하며, MongoDB가 할당된 출력 버퍼 크기를 실제 압축 해제된 데이터 길이 대신 잘못 반환하는 데 있습니다.
변조된 압축 패킷이 전송될 때:
취약한 코드 경로는 인증 전에 접근 가능하므로, 인터넷에 노출된 서버와 내부에서 접근 가능한 서버 모두 취약합니다.
성공적인 악용은 다음 정보의 노출로 이어질 수 있습니다:
개별 메모리 누출은 단편적이거나 불완전하게 보일 수 있지만, 지속적인 악용은 의미 있는 데이터 노출 가능성을 높입니다.
이 취약점은 다음 패치 릴리스 이전의 MongoDB Server 버전에 영향을 미칩니다:
| MongoDB 브랜치 | 수정 버전 |
|---|
MongoDB Atlas 배포는 이미 패치되었습니다.
MongoDB 서버 로그에서 인증 전에 발생하는 의심스럽거나 예상치 못한 활동(프로빙, 변조된 핸드셰이크 또는 악용 시도)을 모니터링하세요.
다음 관련 로그 항목에 주목하세요:
다음 명령을 사용하여 MongoDB 로그에서 관련 지표를 필터링하세요:
grep -Ei "compress|decompress|zlib|handshake|authentication" /var/log/mongodb/mongod.log
의심스러운 활동에는 다음이 포함될 수 있습니다:
관련 텔레메트리 소스:
MongoDB는 신뢰할 수 없는 네트워크에서 직접 접근할 수 없어야 합니다.
zlib 압축을 비활성화하면 패치가 완료될 때까지 취약한 코드 경로가 제거됩니다.
설정 예시:
net:
compression:
compressors: snappy
또는 명령줄을 통해:
mongod --networkMessageCompressors snappy
위에 나열된 패치 버전으로 MongoDB를 업그레이드하세요.
취약점의 특성(메모리 노출)을 고려하여, 서버가 접근 가능했다면 잠재적 노출을 가정하세요.
권장 후속 조치:
CVE-2025-14847은 CISA 알려진 악용 취약점(KEV) 카탈로그에 추가되어 실제 악용이 확인되었으며 해결 우선순위가 높아졌습니다.
| 8.2 | 8.2.3 |
| 8.0 | 8.0.17 |
| 7.0 | 7.0.28 |
| 6.0 | 6.0.27 |
| 5.0 | 5.0.32 |
| 4.4 | 4.4.30 |