CVE-2025-14847

Nome do Software Vulnerável e Versões Afetadas MongoDB Server versões anteriores a 8.2.3 MongoDB Server versões anteriores a 8.0.17 MongoDB Server versões anteriores a 7.0.28 MongoDB Server versões anteriores a 6.0.27 MongoDB Server versões anteriores a 5.0.32 MongoDB Server versões anteriores a 4.4.30 MongoDB Server versões 3.6.0 até 4.2.x

Description Um problema na lógica de descompressão de mensagens de rede comprimidas via zlib permite que um invasor remoto não autenticado leia a memória heap não inicializada. A falha ocorre porque o servidor processa incorretamente os parâmetros de comprimento nos cabeçalhos do protocolo, retornando o tamanho do buffer de memória alocado em vez do comprimento real dos dados descompactados. Ao enviar pacotes malformados especialmente criados, um invasor pode extrair informações sensíveis da memória do servidor, como senhas de banco de dados em texto simples, chaves de API, tokens de sessão e credenciais de serviços em nuvem. Estima-se que aproximadamente 87.000 servidores MongoDB expostos à internet estejam potencialmente vulneráveis, com 42% dos ambientes de nuvem contendo pelo menos uma instância afetada. Este problema tem sido explorado ativamente, incluindo uma violação relatada nos serviços do Rainbow Six Siege da Ubisoft para manipular dados do jogo e potencialmente acessar código-fonte interno.

Recommendations Atualize o MongoDB Server para a versão 8.2.3 ou superior. Atualize o MongoDB Server para a versão 8.0.17 ou superior. Atualize o MongoDB Server para a versão 7.0.28 ou superior. Atualize o MongoDB Server para a versão 6.0.27 ou superior. Atualize o MongoDB Server para a versão 5.0.32 ou superior. Atualize o MongoDB Server para a versão 4.4.30 ou superior. Para as versões 3.6 a 4.2, atualize para uma versão corrigida suportada ou isole as instâncias usando firewalls. Como mitigação temporária, desative a compressão zlib definindo net.compression.compressors como snappy,zstd ou disabled na configuração. Restrinja o acesso à porta do servidor MongoDB (padrão 27017) usando regras de firewall ou listas de permissão de IP para garantir que não esteja publicamente acessível.