# CVE-2025-14847（MongoBleed）分析与修复指南 针对 MongoDB zlib 压缩内存泄露漏洞的分析与修复指南。包含检测指标、缓解措施及补丁更新指导。
CVE-2025-14847，通常被称为 MongoBleed，是一个影响 MongoDB 服务器的高危信息泄露漏洞。
该漏洞允许远程、未授权攻击者通过利用对 zlib 压缩网络消息处理不当，泄露服务器内存中的敏感数据。
该问题已在野外被积极利用，并影响使用默认压缩配置的 MongoDB 部署。
MongoDB 支持使用 zlib 进行网络消息压缩，该功能默认启用。
漏洞存在于 zlib 解压逻辑中，MongoDB 错误地返回了分配的输出缓冲区大小，而非实际的解压数据长度。
当发送畸形压缩包时：
漏洞代码路径在认证之前即可到达，这使得暴露在互联网上以及内部可访问的服务器均存在风险。
成功利用可能泄露以下信息：
尽管单次内存泄露可能显得零散或不完整，但持续利用会显著增加暴露有意义数据的可能性。
该漏洞影响以下修补版本之前的 MongoDB 服务器版本：
| MongoDB 分支 | 修复版本 |
|---|
MongoDB Atlas 部署已修补。
监控 MongoDB 服务器日志中在认证之前出现的可疑或异常活动，这可能表明探测、畸形握手或利用尝试。
重点检查与以下内容相关的日志条目：
使用以下命令从 MongoDB 日志中筛选相关指标：
grep -Ei "compress|decompress|zlib|handshake|authentication" /var/log/mongodb/mongod.log
来自同一源的重复解压错误
大量连接但无成功认证
登录尝试前的畸形包错误
可疑活动可能包括：
对 27017 端口的重复短连接
异常的压缩负载模式
缺少对应的认证事件
相关遥测来源：
防火墙与 IDS/IPS 日志
VPC Flow Logs
网络监控工具（例如 Zeek、Suricata）
MongoDB 不应直接从不可信网络访问。
移除公网暴露
强制执行防火墙与安全组限制
仅限已知应用主机访问
禁用 zlib 压缩可移除漏洞代码路径，直至完成修补。
配置示例：
net:
compression:
compressors: snappy
或通过命令行：
mongod --networkMessageCompressors snappy
将 MongoDB 升级至上述修补版本。
鉴于该漏洞的性质（内存泄露），若服务器曾经可被访问，应假定存在潜在暴露。
建议的后续操作：
轮换 MongoDB 用户凭证
轮换应用机密和 API 密钥
审查历史日志中的可疑活动
加强对认证前异常的监控
CVE-2025-14847 已被添加至 CISA 已知被利用漏洞（KEV）目录，确认了现实世界中的利用，并提高了修复优先级。
| 8.2 | 8.2.3 |
| 8.0 | 8.0.17 |
| 7.0 | 7.0.28 |
| 6.0 | 6.0.27 |
| 5.0 | 5.0.32 |
| 4.4 | 4.4.30 |