rishi-kaul/cve-2025-14847-mongobleedGuia de análise e remediação para CVE-2025-14847 (MongoBleed), uma divulgação de memória de compressão zlib do MongoDB. Inclui indicadores de detecção, etapas de mitigação e orientação de patch.
CVE-2025-14847, comumente referida como MongoBleed, é uma vulnerabilidade de divulgação de informações de alta gravidade que afeta :contentReference[oaicite:0]{index=0} Server.
A vulnerabilidade permite que um atacante remoto não autenticado vaze dados sensíveis da memória do servidor ao explorar o tratamento inadequado de mensagens de rede comprimidas com zlib.
O problema está sendo ativamente explorado na natureza e afeta implantações do MongoDB que usam a configuração de compressão padrão.
O MongoDB suporta compressão de mensagens de rede usando zlib, que está habilitado por padrão.
A vulnerabilidade existe na lógica de descompressão zlib, onde o MongoDB retorna incorretamente o tamanho do buffer de saída alocado em vez do comprimento real dos dados descomprimidos.
Quando pacotes comprimidos malformados são enviados:
O caminho de código vulnerável é acessível antes da autenticação, tornando vulneráveis tanto servidores expostos à internet quanto alcançáveis internamente.
A exploração bem-sucedida pode levar à divulgação de:
Embora vazamentos de memória individuais possam parecer fragmentados ou incompletos, a exploração sustentada aumenta a probabilidade de exposição significativa de dados.
A vulnerabilidade afeta versões do MongoDB Server anteriores às seguintes versões corrigidas:
| Ramificação do MongoDB | Versão Corrigida |
|---|---|
| 8.2 | 8.2.3 |
| 8.0 | 8.0.17 |
| 7.0 | 7.0.28 |
| 6.0 | 6.0.27 |
| 5.0 | 5.0.32 |
| 4.4 | 4.4.30 |
As implantações do MongoDB Atlas já foram corrigidas.
Monitore os logs do servidor MongoDB em busca de atividades suspeitas ou inesperadas que ocorram antes da autenticação, o que pode indicar sondagem, handshakes malformados ou tentativas de exploração.
Foco em entradas de log relacionadas a:
Use o seguinte comando para filtrar indicadores relevantes dos logs do MongoDB:
bash
grep -Ei "compress|decompress|zlib|handshake|authentication" /var/log/mongodb/mongod.log"""
Erros repetidos de descompressão da mesma origem
Alto volume de conexões sem sucesso de autenticação
Erros de pacotes malformados precedendo tentativas de login
Atividades suspeitas podem incluir:
Conexões TCP repetidas de curta duração para a porta 27017
Padrões anormais de payload comprimido
Falta de eventos de autenticação correspondentes
Fontes de telemetria relevantes:
Logs de firewall e IDS/IPS
VPC Flow Logs
Ferramentas de monitoramento de rede (ex.: Zeek, Suricata)
O MongoDB não deve ser diretamente acessível a partir de redes não confiáveis.
Remova a exposição pública
Aplique restrições de firewall e grupo de segurança
Limite o acesso apenas a hosts de aplicação conhecidos
Desabilitar a compressão zlib remove o caminho de código vulnerável até que a correção seja concluída.
Exemplo de configuração:
net compression:
compressors: snappy
Ou via linha de comando:
mongod --networkMessageCompressors snappy
Atualize o MongoDB para uma versão corrigida listada acima.
Dada a natureza da vulnerabilidade (divulgação de memória), assuma exposição potencial se o servidor estava acessível.
Ações recomendadas de acompanhamento:
Rotacione as credenciais do usuário do MongoDB
Rotacione segredos e chaves de API da aplicação
Revise logs históricos em busca de atividades suspeitas
Fortaleça o monitoramento para anomalias pré-autenticação
Status do Aviso
CVE-2025-14847 foi adicionado ao Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA, confirmando a exploração no mundo real e aumentando a prioridade de remediação.