MongoBleed (CVE-2025-14847)

MongoBleed é um scanner PoC de alto desempenho para CVE-2025-14847, uma vulnerabilidade de divulgação de memória heap pré-autenticação no driver C++ do MongoDB. A ferramenta foi projetada para identificação rápida de instâncias vulneráveis em grandes intervalos de rede.

Análise Técnica

A vulnerabilidade decorre de uma leitura fora dos limites (OOB) no tratamento de mensagens OP_COMPRESSED pelo protocolo de fio do MongoDB.

Quando um servidor recebe um pacote OP_COMPRESSED, ele depende do campo uncompressedSize fornecido pelo atacante para alocar um buffer para descompressão. Se os dados realmente descomprimidos forem significativamente menores que o uncompressedSize declarado, o driver não trunca ou limpa o buffer. Como resultado, o servidor retorna todo o bloco de memória alocado, que pode conter dados de heap não inicializados, potencialmente expondo informações sensíveis, como tokens de sessão, ponteiros internos ou fragmentos de outras consultas de banco de dados.

Recursos

• E/S assíncrona usando Python asyncio para varredura de alta concorrência
• Detecção precisa ao validar o comprimento da resposta em relação ao tamanho de vazamento solicitado
• Mínimos falsos positivos por meio de interação verificada em nível de protocolo
• Registro automático de alvos vulneráveis em vulnerable_targets.txt

Instalação

git clone https://github.com/Black1hp/mongobleed-scanner/
cd mongobleed-scanner

Nenhuma dependência externa necessária (apenas a Biblioteca Padrão do Python).

Uso

Uso básico:

python3 mongobleed.py -i targets.txt

Configuração avançada:

python3 mongobleed.py -i targets.txt -c 100 -t 5

Opções

• -i : Arquivo de entrada contendo alvos (IP, domínio ou IP:porta)
• -c : Nível de concorrência (padrão: 50)
• -t : Tempo limite de conexão em segundos (padrão: 5)

Lógica de Detecção

O scanner identifica a vulnerabilidade explorando uma incompatibilidade de tamanho durante a fase de descompressão BSON:

1. O scanner envia um pacote OP_COMPRESSED personalizado contendo uma pequena carga útil compactada em zlib, por exemplo, 16-30 bytes.
2. O campo uncompressedSize no cabeçalho do pacote é intencionalmente definido para um valor muito maior (por exemplo, 64KB).
3. Um estado VULNERÁVEL é confirmado se o servidor MongoDB responder com um MessageLength que corresponda ao tamanho grande do buffer solicitado, em vez do tamanho real da carga útil descomprimida.
4. O servidor confia no uncompressedSize fornecido pelo atacante para definir o comprimento da resposta. Como não atualiza esse comprimento com os bytes reais escritos durante a descompressão, ele transmite cegamente todo o buffer de heap alocado — incluindo memória não inicializada — de volta ao cliente.
5. O scanner valida a resposta lendo os bytes extras do fluxo, que representam fragmentos não inicializados da memória heap do servidor.

Prova de Conceito

Nota: O vídeo acima demonstra o scanner identificando múltiplas instâncias vulneráveis e capturando fragmentos de heap em tempo real.

Autor

Black1hp Pesquisador de Segurança | Caçador de Bugs | Red Teamer

• GitHub: https://github.com/black1hp
• X (Twitter): https://x.com/black1hp
• Medium: https://medium.com/@black1hp
• LinkedIn: https://www.linkedin.com/in/black1hp/

Aviso Legal

Esta ferramenta é destinada apenas para testes de segurança autorizados e fins de pesquisa. O autor não se responsabiliza por qualquer uso não autorizado ou danos decorrentes desta ferramenta.