franksec42/mongobleed-exploit-cve-2025-14847Explot, Lab, Scanner - externo e contêiner docker, para SMongobleed-CVE-2025-14847 mais o phoenix security uploader
CVE-2025-14847 | CVSS 8.7 (Alto) | Divulgação de Memória Não Autenticada
CVE-2025-14847, apelidado de MongoBleed, permite que atacantes remotos não autenticados exfiltrem memória heap não inicializada explorando a lógica de descompressão zlib do MongoDB. Esta falha de alta gravidade expõe artefatos sensíveis, incluindo credenciais em texto simples e tokens de sessão, fornecendo um roteiro para movimentação lateral e tomada total do servidor.
| Aspecto | Detalhes |
|---|---|
| O que é vulnerável | Camada de transporte de rede do servidor MongoDB usando compressão zlib |
| Gravidade | Alta (CVSS 8.7/7.5) |
| Impacto | Divulgação não autenticada e remota de memória heap não inicializada |
| Por que é importante | Fragmentos vazados contêm senhas de banco de dados, chaves secretas AWS e estados internos do servidor |
| Status do exploit | Prova de Conceito (PoC) pública "mongobleed" está validada e em circulação |
| O que fazer hoje | Atualize para versões corrigidas imediatamente ou desative a compressão zlib |
A vulnerabilidade existe na camada de transporte de rede do MongoDB (message_compressor_zlib.cpp) onde uma falha crítica na lógica de descompressão zlib permite que atacantes não autenticados vazem memória sensível do servidor.
// VULNERABLE CODE (before fix)
counterHitDecompress(input.length(), output.length());
return {output.length()}; // ❌ Returns ALLOCATED buffer size
// PATCHED CODE (after fix)
counterHitDecompress(input.length(), output.length());
return length; // ✅ Returns ACTUAL decompressed data length
┌─────────────────────────────────────────────────────────────────────────────┐
│ MongoBleed Attack Vector │
├─────────────────────────────────────────────────────────────────────────────┤
│ │
│ ATTACKER VULNERABLE MongoDB │
│ │ │ │
│ │ 1. Send OP_COMPRESSED message │ │
│ │ uncompressedSize: 8192 (LIE) │ │
│ │ actual data: ~100 bytes │ │
│ │────────────────────────────────────> │
│ │ │ │
│ │ 2. Allocate 8192-byte buffer │
│ │ 3. Decompress ~100 bytes │
│ │ 4. BUG: Return buffer.length() = 8192 │
│ │ 5. BSON parser reads uninitialized memory │
│ │ │ │
│ │ 6. Error response with leaked │ │
│ │ memory as "field names" │ │
│ │<──────────────────────────────────── │
│ │ │ │
│ 🔓 LEAKED DATA: │ │
│ - API keys, passwords, tokens │
│ - MongoDB internal state │
│ - WiredTiger storage configs │
│ - System /proc information │
│ - Client connection data │
│ │
└─────────────────────────────────────────────────────────────────────────────┘
| Versão | Intervalo Vulnerável | Versão Corrigida | Status |
|---|---|---|---|
| 8.2.x | 8.2.0 - 8.2.2 | 8.2.3 | ✅ Corrigido |
| 8.0.x | 8.0.0 - 8.0.16 | 8.0.17 | ✅ Corrigido |
| 7.0.x | 7.0.0 - 7.0.27 | 7.0.28 | ✅ Corrigido |
| 6.0.x | 6.0.0 - 6.0.26 | 6.0.27 | ✅ Corrigido |
| 5.0.x | 5.0.0 - 5.0.31 | 5.0.32 | ✅ Corrigido |
| 4.4.x | 4.4.0 - 4.4.29 | 4.4.30 | ✅ Corrigido |
| 4.2.x | Todas as versões | Nenhuma | ⚠️ EOL |
| 4.0.x | Todas as versões | Nenhuma | ⚠️ EOL |
| 3.6.x | Todas as versões | Nenhuma | ⚠️ EOL |
| Data | Evento |
|---|---|
| 15 Dez 2025 | Vulnerabilidade identificada; ticket interno SERVER-115508 |
| 19 Dez 2025 | Correção lançada, CVE-2025-14847 divulgada |
| 24 Dez 2025 | Frota MongoDB Atlas corrigida |
| 26 Dez 2025 | PoC pública "mongobleed" lançada |
| 28 Dez 2025 | Exploração observada em ambiente real |
mongobleed-exploit-CVE-2025-14847/
├── exploit/ # 🔴 Laboratório de Exploit
│ ├── docker-compose.yml # Instâncias MongoDB Vulnerável + Corrigida
│ ├── mongobleed.py # PoC de exploit de vazamento de memória
│ ├── init/init-mongo.js # Dados de teste sensíveis
│ ├── test-exploit.sh # Script de teste do laboratório
│ └── README.md # Documentação do laboratório
│
├── scanner/ # 🌐 Scanner de Rede
│ ├── mongobleed_scanner.py # Scanner de vulnerabilidade de IP/domínio
│ ├── sample-targets.txt # Arquivo de alvos de exemplo
│ └── README.md # Documentação do scanner
│
├── code-scan/ # 📂 Scanner de Código
│ ├── main.py # Ponto de entrada CLI
│ ├── scanners/ # Scanners Docker, Python, Infra
│ ├── models/ # Modelos de achados, vulnerabilidades
│ ├── integrations/ # Upload para Phoenix Security
│ └── README.md # Documentação do scanner de código
│
└── original-exploit/ # 📚 Referência da PoC original
cd exploit
# Start lab (vulnerable + patched instances)
docker-compose up -d
sleep 10
# Test vulnerable instance (should leak memory)
python3 mongobleed.py --host localhost --port 27017
# Test patched instance (should NOT leak memory)
python3 mongobleed.py --host localhost --port 27018
# Full lab test
./test-exploit.sh
cd scanner
# Scan single host
python3 mongobleed_scanner.py 192.168.1.100
# Scan network range
python3 mongobleed_scanner.py 192.168.1.0/24
# Scan from file
python3 mongobleed_scanner.py @sample-targets.txt --json --output results.json
cd code-scan
# Scan project for vulnerable MongoDB versions
python3 main.py scan /path/to/project
# Scan and upload to Phoenix
python3 main.py scan /path/to/project --upload-phoenix
# Run tests
python3 main.py test
# === EXPLOIT LAB ===
# Start lab
cd exploit && docker-compose up -d && sleep 10