文章总结： MongoDB存在严重漏洞CVE-2025-14847，允许未经认证的攻击者利用zlib缺陷远程泄露服务器内存中的敏感数据。该漏洞源于解压缩时错误返回缓冲区大小而非实际数据长度，影响8.0至4.4等多个版本。攻击者可通过发送畸形数据包窃取用户凭证和API密钥。建议立即升级至修复版本、关闭非必要端口或禁用zlib压缩功能以缓解风险。 综合评分： 92 文章分类： 漏洞预警,漏洞分析,数据安全,应用安全

MongoDB 未经身份验证的攻击者敏感内存泄漏

Ots安全

2025年12月27日 14:05 广东

威胁简报

恶意软件

漏洞攻击

攻击者可能利用 Zlib 窃取数据

太长不看

MongoDB 严重内存泄漏

• 情况：一个重大漏洞允许未经身份验证的攻击者远程泄露 MongoDB 服务器内存中的敏感数据。无需登录。
• CVE编号： CVE-2025-14847
• 事件始末： zlib压缩算法的一个漏洞使得攻击者能够触发信息泄露。攻击者通过发送格式错误的网络数据包，可以提取出部分私有数据。

受影响的版本

| | | | | — | — | — | | 主要版本 | 受影响版本 | 修复版本 | | 8.2 | 8.2.0 至 8.2.2 | 8.2.3 | | 8.0 | 8.0.0 至 8.0.16 | 8.0.17 | | 7.0 | 7.0.0 至 7.0.27 | 7.0.28 | | 6.0 | 6.0.0 至 6.0.26 | 6.0.27 | | 5.0 | 5.0.0 至 5.0.31 | 5.0.32 | | 4.4 | 4.4.0 至 4.4.29 | 4.4.30 | | 4.2 | 4.2.0 及更高版本 | 不适用 | | 4.0 | 4.0.0 及更高版本 | 不适用 | | 3.6 | 3.6.0 及更高版本 | 不适用 |

概述

zlib 库中的一个缺陷使得攻击者能够从 MongoDB 服务器泄露信息，攻击者无需身份验证即可发送有效载荷，因为该漏洞是在网络层面上被利用的。

哪些人会受到影响

受影响版本列表中的 MongoDB 服务器的任何公开暴露的 MongoDB 端口的服务器，以及攻击者可能通过横向移动访问的私有服务器。

潜在损害是什么？

攻击者可以利用此漏洞从 MongoDB 服务器中提取敏感信息，包括用户信息、密码、API 密钥等等。虽然攻击者可能需要发送大量请求才能获取完整的数据库，而且其中一些数据可能毫无意义，但攻击者拥有的时间越长，就能收集到越多的信息。

建议措施

立即采取的行动：

1. 如果您在受影响的软件包中部署了公开的 MongoDB 服务器，请立即更新到修复版本。
2. 关闭未使用的端口，这些端口可能被攻击者用于向 MongoDB 服务器发送直接网络请求。
3. 如果可能，请禁用服务器上的 zlib 压缩功能。虽然这可能会影响性能，但有助于缓解此类攻击。

技术分析

此次提交包含的修复程序是针对 MongoDB 网络传输层的安全性和稳定性补丁。它解决了数据库在解压缩网络消息期间可能被迫分配或处理“过小”内存缓冲区的漏洞。

该修复解决了 message_compressor_zlib.cpp 中的一个问题，原本用于返回解压缩数据大小的行使用了“return {output.length()};”这行代码，它告诉代码返回已分配的内存量，而不是解压缩数据的实际长度。新的“return length;”行确保只返回解压缩数据的实际长度。

src/mongo/transport/message_compressor_zlib.cpp

来源：https ://github.com/mongodb/mongo/commit/505b660a14698bd2b5233bd94da3917b585c5728

进一步分析可以发现，在 src/mongo/transport/message_compressor_manager_test.cpp 中，用于测试内存不足损坏的代码被输入了恶意值，以检查内存分配问题是否仍然存在。

来源：https ://github.com/mongodb/mongo/commit/505b660a14698bd2b5233bd94da3917b585c5728

结论

事件经过：一个重大漏洞允许未经身份验证的攻击者远程泄露 MongoDB 服务器内存中的敏感数据 (CVE-2025-14847)。无需登录。

如果您使用的是 MongoDB，请更新到最新的修复版本或禁用 zlib 解压缩。

END

公众号内容都来自国外平台-所有文章可通过点击阅读原文到达原文地址或参考地址

排版 编辑 | Ots 小安

采集 翻译 | Ots Ai牛马

公众号 | AnQuan7 (Ots安全)

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：Ots安全 《MongoDB 未经身份验证的攻击者敏感内存泄漏》