CVE-2025-14847-mongobleed

CVE-2025-14847 mongobleed python-файл

CVE-2025-14847

CVE-2025-14847

https://jira.mongodb.org/browse/SERVER-115508

КРАТКОЕ ОПИСАНИЕ

Это критическое исправление для устранения CVE-2025-14847. Обновитесь до версии 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 или 4.4.30.

ОПИСАНИЕ ПРОБЛЕМЫ И ВОЗДЕЙСТВИЕ

Эксплойт на стороне клиента против реализации zlib на сервере может вернуть неинициализированную память из кучи без аутентификации на сервере. Мы настоятельно рекомендуем как можно скорее обновиться до исправленной версии.

Проблема затрагивает следующие версии MongoDB:

• MongoDB с 8.2.0 по 8.2.3
• MongoDB с 8.0.0 по 8.0.16
• MongoDB с 7.0.0 по 7.0.26
• MongoDB с 6.0.0 по 6.0.26
• MongoDB с 5.0.0 по 5.0.31
• MongoDB с 4.4.0 по 4.4.29
• Все версии MongoDB Server v4.2
• Все версии MongoDB Server v4.0
• Все версии MongoDB Server v3.6

ОБХОДНОЙ ПУТЬ

Мы настоятельно рекомендуем немедленно обновиться.

Если вы не можете немедленно обновиться, отключите сжатие zlib на сервере MongoDB, запустив mongod или mongos с опцией networkMessageCompressors или net.compression.compressors, в которой явно исключён zlib. Примеры безопасных значений: snappy,zstd или disabled

УСТРАНЕНИЕ

Обновитесь до MongoDB 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 или 4.4.30.

• https://jira.mongodb.org/browse/SERVER-115508

• https://github.com/mongodb/mongo/commit/1264f9be5165abb0981f8023d2495652ab916699#diff-fd797e63d8e20a16cf0adcb6b5542f2124de9bf6f3afa913ba8d09d3022b11ac

• https://github.com/mongodb/mongo/blob/1264f9be5165abb0981f8023d2495652ab916699/src/mongo/transport/message_compressor_manager_test.cpp

Примечание: Содержимое этого репозитория сгенерировано ИИ.