CVE-2025-14847-mongobleed

CVE-2025-14847 mongobleed python 文件

CVE-2025-14847

CVE-2025-14847

https://jira.mongodb.org/browse/SERVER-115508

摘要

这是一项针对 CVE-2025-14847 的关键修复。请升级至 8.2.3、8.0.17、7.0.28、6.0.27、5.0.32 或 4.4.30。

问题描述与影响

针对服务器 zlib 实现的客户端漏洞利用，可在未向服务器进行身份验证的情况下返回未初始化的堆内存。我们强烈建议尽快升级至已修复版本。

此问题影响以下 MongoDB 版本：

• MongoDB 8.2.0 至 8.2.3
• MongoDB 8.0.0 至 8.0.16
• MongoDB 7.0.0 至 7.0.26
• MongoDB 6.0.0 至 6.0.26
• MongoDB 5.0.0 至 5.0.31
• MongoDB 4.4.0 至 4.4.29
• 所有 MongoDB Server v4.2 版本
• 所有 MongoDB Server v4.0 版本
• 所有 MongoDB Server v3.6 版本

临时缓解措施

我们强烈建议您立即升级。

如果您无法立即升级，请通过在启动 mongod 或 mongos 时使用明确省略 zlib 的 networkMessageCompressors 或 net.compression.compressors 选项，在 MongoDB Server 上禁用 zlib 压缩。安全值示例包括 snappy,zstd 或 disabled

修复方案

升级至 MongoDB 8.2.3、8.0.17、7.0.28、6.0.27、5.0.32 或 4.4.30。

• https://jira.mongodb.org/browse/SERVER-115508

• https://github.com/mongodb/mongo/commit/1264f9be5165abb0981f8023d2495652ab916699#diff-fd797e63d8e20a16cf0adcb6b5542f2124de9bf6f3afa913ba8d09d3022b11ac

• https://github.com/mongodb/mongo/blob/1264f9be5165abb0981f8023d2495652ab916699/src/mongo/transport/message_compressor_manager_test.cpp

注意： 该仓库内容包含AI生成。