CVE-2025-14847
MongoDB and MongoDB Server Improper Handling of Length Parameter Inconsistency Vulnerability
Beschreibung
CVE-2025-14847 ist eine schwerwiegende Schwachstelle (CVSS 7.5 HIGH) in MongoDB Server, die durch fehlerhafte Behandlung von Zlib-komprimierten Protokoll-Headern ein Auslesen von nicht initialisiertem Heap-Speicher durch nicht authentifizierte Clients ermöglicht. Betroffen sind zahlreiche MongoDB-Versionen von 3.6.0 bis 8.2.3. Die als "MongoBleed" bekannte Schwachstelle wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen. Der EPSS-Wert von 64,807 % (98,4. Perzentil) zeigt eine extrem hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| mongodb | mongodb | >= 3.6.0, < 4.4.30; >= 5.0.0, < 5.0.32; >= 6.0.0, < 6.0.27; >= 7.0.0, < 7.0.28; >= 8.0.0, < 8.0.17; >= 8.2.0, < 8.2.3 |
Referenzen
- https://jira.mongodb.org/browse/SERVER-115508(Issue Tracking, Patch, Vendor Advisory)
- http://www.openwall.com/lists/oss-security/2025/12/29/21(Mailing List)
- https://www.smartkeyss.com/post/mongobleed-pre-auth-memory-disclosure-via-op_compressed-in-mongodb-cve-2025-14847(Technical Description, Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2025-14847-detection-script-heap-memory-exposure-in-mongodb-server(Exploit, Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2025-14847-mitigation-script-heap-memory-exposure-in-mongodb-server(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-14847(Third Party Advisory, US Government Resource)
Schwachstellentyp
CWE-130: Improper Handling of Length Parameter Inconsistency
CWE-130 beschreibt Schwachstellen, bei denen eine Anwendung Inkonsistenzen zwischen verschiedenen Längenangaben nicht korrekt behandelt. Bei CVE-2025-14847 stimmen die Längenfelder in Zlib-komprimierten Protokoll-Headern nicht überein, was dazu führt, dass MongoDB Server nicht initialisierten Heap-Speicher als Antwort an den Client sendet. Dies kann sensible Daten wie Zugangsdaten, Abfrageergebnisse anderer Benutzer oder interne Konfigurationsinformationen offenlegen. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-14847 betreffen primär die Vertraulichkeit (C:H), die maximal beeinträchtigt ist. Durch das Auslesen von nicht initialisiertem Heap-Speicher können Angreifer potenziell sensible Daten extrahieren, die sich im Speicher des MongoDB-Prozesses befinden. Dazu gehören möglicherweise Datenbankabfragen anderer Benutzer, Authentifizierungsinformationen, interne Konfigurationsdaten und andere vertrauliche Informationen. Integrität und Verfügbarkeit sind laut CVSS-Bewertung nicht betroffen (I:N, A:N). Besonders kritisch ist, dass keinerlei Authentifizierung erforderlich ist (PR:N) und der Angriff über das Netzwerk erfolgen kann (AV:N) -- jeder Client, der eine Verbindung zum MongoDB-Port herstellen kann, kann die Schwachstelle ausnutzen. Die breite Palette betroffener Versionen (von 3.6.0 bis 8.2.3) bedeutet, dass ein Großteil aller MongoDB-Installationen weltweit potenziell verwundbar ist. Der EPSS-Wert von 64,807 % (98,4. Perzentil) ist außerordentlich hoch und zeigt massive aktive Ausnutzung. Die Aufnahme in den KEV-Katalog mit Frist zum 19. Januar 2026 bestätigt dies. Der Ransomware-Status ist als "Unknown" klassifiziert.
Exploit-Reifegrad
Die Exploit-Reife für CVE-2025-14847 ist sehr hoch. Die Schwachstelle ist im CISA KEV-Katalog mit Behebungsfrist bis zum 19. Januar 2026 gelistet, und der EPSS-Wert von 64,807 % (98,4. Perzentil) belegt eine massive Ausnutzungswahrscheinlichkeit. Es existieren öffentliche Exploit-Skripte, darunter Detection- und Mitigation-Skripte von Vicarius. Eine detaillierte technische Analyse ist unter dem Namen "MongoBleed" von SmartKeyss veröffentlicht worden. MongoDB hat die Schwachstelle über ein JIRA-Ticket dokumentiert und gepatcht. Der Ransomware-Zusammenhang ist als "Unknown" eingestuft.
Behebung
- MongoDB Server aktualisieren -- Aktualisieren Sie auf die gepatchten Versionen: MongoDB 4.4.30, 5.0.32, 6.0.27, 7.0.28, 8.0.17 oder 8.2.3 (oder höher). Konsultieren Sie das MongoDB JIRA-Ticket SERVER-115508 für Details.
- Netzwerkzugriff einschränken -- Stellen Sie sicher, dass der MongoDB-Port (Standard: 27017) nicht direkt aus dem Internet erreichbar ist. Verwenden Sie Firewall-Regeln und Netzwerksegmentierung, um den Zugriff auf autorisierte Anwendungsserver zu beschränken.
- Authentifizierung aktivieren -- Obwohl die Schwachstelle auch ohne Authentifizierung ausnutzbar ist, sollte die MongoDB-Authentifizierung aktiviert sein, um die Angriffsfläche generell zu reduzieren. Prüfen Sie, ob die Option --auth oder die Konfiguration security.authorization aktiv ist.
- Zlib-Komprimierung vorübergehend deaktivieren -- Als temporäre Maßnahme kann die Zlib-Komprimierung für Netzwerkverbindungen deaktiviert werden, um den Angriffsvektor zu eliminieren, bis ein Update möglich ist.
- Speicher-Forensik durchführen -- Angesichts der aktiven Ausnutzung sollten exponierte MongoDB-Instanzen auf Anzeichen einer Kompromittierung und Datenexfiltration untersucht werden.
Technische Details
Der CVSS v3.1-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N ergibt einen Score von 7.5 (HIGH). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar, wobei jeder Client mit Zugang zum MongoDB-Port angreifen kann. Angriffskomplexität (AC:L): Die Ausnutzung ist technisch einfach -- es genügt, manipulierte Zlib-komprimierte Protokoll-Header zu senden. Erforderliche Privilegien (PR:N): Keine Authentifizierung erforderlich, was die Schwachstelle besonders gefährlich für öffentlich zugängliche Instanzen macht. Benutzerinteraktion (UI:N): Kein Benutzer muss mitwirken. Der Angriffsmechanismus nutzt eine Inkonsistenz in der Verarbeitung von OP_COMPRESSED-Nachrichten im MongoDB Wire Protocol aus. Wenn ein Client eine Nachricht mit absichtlich fehlerhaften Längenangaben im Zlib-komprimierten Header sendet -- wobei die deklarierte unkomprimierte Größe größer ist als die tatsächlichen Daten -- liest der MongoDB-Server über die eigentlichen Daten hinaus nicht initialisierten Heap-Speicher und sendet diesen als Teil der Antwort zurück. Dies ähnelt konzeptionell der bekannten Heartbleed-Schwachstelle (daher der Name "MongoBleed"). Betroffen sind alle MongoDB-Versionen von 3.6.0 bis zu den genannten gepatchten Versionen.
Häufig gestellte Fragen
Was ist CVE-2025-14847 (MongoBleed)?
CVE-2025-14847, auch bekannt als "MongoBleed", ist eine Pre-Auth-Schwachstelle in MongoDB Server, die das Auslesen von nicht initialisiertem Heap-Speicher ermöglicht. Durch manipulierte Zlib-komprimierte Protokoll-Header kann ein nicht authentifizierter Client sensible Daten aus dem MongoDB-Prozessspeicher extrahieren.
Welche MongoDB-Versionen sind betroffen?
Betroffen sind alle MongoDB-Versionen von 3.6.0 bis zu den gepatchten Releases: 4.4.30, 5.0.32, 6.0.27, 7.0.28, 8.0.17 und 8.2.3. Dies bedeutet, dass ein Großteil aller MongoDB-Installationen potenziell verwundbar ist.
Warum wird die Schwachstelle MongoBleed genannt?
Der Name leitet sich von der konzeptionellen Ähnlichkeit zu Heartbleed (CVE-2014-0160) ab. Wie bei Heartbleed wird durch Manipulation von Längenfeldern Speicherinhalt ausgelesen, der eigentlich nicht zugänglich sein sollte.
Ist meine MongoDB-Instanz gefährdet, auch wenn sie nicht öffentlich erreichbar ist?
Die Schwachstelle erfordert Netzwerkzugriff auf den MongoDB-Port, daher sind nicht öffentlich erreichbare Instanzen weniger exponiert. Allerdings kann auch ein kompromittierter Anwendungsserver oder ein Angreifer im internen Netzwerk die Schwachstelle ausnutzen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.