CVE-2025-14847

Среда уязвимости CVE-2025-14847 с PoC

https://jira.mongodb.org/browse/SERVER-115508

КРАТКОЕ ОПИСАНИЕ

Это критическое исправление для устранения CVE-2025-14847. Обновитесь до версий 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 или 4.4.30.

ОПИСАНИЕ ПРОБЛЕМЫ И ВОЗДЕЙСТВИЕ

Клиентская эксплуатация реализации zlib на сервере может вернуть неинициализированную память кучи без аутентификации на сервере. Мы настоятельно рекомендуем как можно скорее обновиться до исправленной версии.

Эта проблема затрагивает следующие версии MongoDB:

• MongoDB 8.2.0 по 8.2.3
• MongoDB 8.0.0 по 8.0.16
• MongoDB 7.0.0 по 7.0.26
• MongoDB 6.0.0 по 6.0.26
• MongoDB 5.0.0 по 5.0.31
• MongoDB 4.4.0 по 4.4.29
• Все версии MongoDB Server v4.2
• Все версии MongoDB Server v4.0
• Все версии MongoDB Server v3.6

ОБХОДНОЙ ПУТЬ

Мы настоятельно рекомендуем немедленно обновиться.

Если вы не можете обновиться немедленно, отключите сжатие zlib на сервере MongoDB, запустив mongod или mongos с опцией networkMessageCompressors или net.compression.compressors, в которой явно исключён zlib. Примеры безопасных значений: snappy,zstd или disabled

УСТРАНЕНИЕ

Обновитесь до MongoDB 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 или 4.4.30.

Ссылки

• https://jira.mongodb.org/browse/SERVER-115508

• https://github.com/mongodb/mongo/commit/1264f9be5165abb0981f8023d2495652ab916699#diff-fd797e63d8e20a16cf0adcb6b5542f2124de9bf6f3afa913ba8d09d3022b11ac

• https://github.com/mongodb/mongo/blob/1264f9be5165abb0981f8023d2495652ab916699/src/mongo/transport/message_compressor_manager_test.cpp

Примечание:

• Этот репозиторий содержит AI-сгенерированный контент.
• Переработано на основе https://github.com/ProbiusOfficial/CVE-2025-14847
• Пожалуйста, прочитайте HOW_TO_FIX.md для получения подробной информации об исправлении.