آسیب پذیری بحرانی با شناسه ی CVE-2025-14847 و از نوع CWE-130: Improper Handling of Length Parameter Inconsistency که امکان RCE رو به مهاجم بدون احرازهویت شده میده.
نسخه های آسیب پذیر:
- MongoDB 8.2.0 through 8.2.3
- MongoDB 8.0.0 through 8.0.16
- MongoDB 7.0.0 through 7.0.26
- MongoDB 6.0.0 through 6.0.26
- MongoDB 5.0.0 through 5.0.31
- MongoDB 4.4.0 through 4.4.29
- All MongoDB Server v4.2 versions
- All MongoDB Server v4.0 versions
- All MongoDB Server v3.6 versions
نسخه ی اصلاح شده:
MongoDB 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32, or 4.4.30
آسیب پذیری در پیاده سازی zlib در سرور MongoDB هستش. مهاجم با ارسال یک درخواست، میتونه حافظه heap مقداردهی‌نشده رو بخونه.
بدلیل عدم پیچیدگی اکسپلویت، توصیه شده حتما بروزرسانی رو اعمال کنید، اما اگه نمیتونید، zlib رو غیر فعال کنید. این کار با اجرای mongod یا mongos و تنظیم گزینه‌های networkMessageCompressors یا net.compression.compressors، امکان‌پذیر است.
#آسیب_پذیری_امنیتی
#CVE #MongoDB
🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)