文章总结： MongoDB披露高危未授权内存泄露漏洞CVE-2025-14847，攻击者可利用Zlib压缩协议缺陷无需认证远程读取堆内存敏感信息。受影响版本覆盖3.6至8.2.2。建议立即升级至对应安全版本并进行排查，防止凭证及密钥泄露。 综合评分： 88 文章分类： 漏洞分析,漏洞预警,漏洞POC,应用安全,数据安全

【漏洞检测脚本】MongoDB 未授权内存泄露漏洞（CVE-2025-14847）

原创

金夏

金夏安全

2025年12月29日 05:28 广东

免责声明

本文仅用于技术学习和讨论。请勿使用本文所提供的内容及相关技术从事非法活动，由于传播、利用此文所提供的内容或工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果均与文章作者及本账号无关，本次测试仅供学习使用。如有内容争议或侵权，请及时私信我们！我们会立即删除并致歉。谢谢！

插播新闻：

一、漏洞描述

MongoDB是一款广泛使用的开源NoSQL数据库。近日披露的CVE-2025-14847（又称MongoBleed漏洞）是一个高危内存信息泄露漏洞。该漏洞存在于MongoDB的Zlib压缩协议处理模块中，由于代码使用output.length()返回已分配缓冲区大小而非实际解压数据长度，导致内存处理逻辑错误。

未经身份验证的攻击者可通过构造特定的畸形压缩数据包，远程读取MongoDB服务器未初始化的堆内存数据。攻击者可系统性地遍历不同内存偏移量，获取包括数据库凭证、API密钥、系统配置信息、业务数据在内的敏感内容，严重威胁数据机密性。

二、漏洞检测脚本

回复“20251229”来获取检测脚本

三、漏洞详情与攻击原理

1. 漏洞核心：Zlib压缩协议头中的uncompressedSize字段与实际解压数据长度不匹配
2. 攻击方式：发送声明巨大uncompressedSize（如1500字节）但实际压缩数据极小（约20字节）的数据包
3. 触发条件：无需身份验证，无需特殊配置，默认配置即受影响
4. 泄露数据：可能包含AWS密钥、数据库密码、系统信息、容器路径等

四、影响范围与严重性

受影响版本：

• MongoDB Server 8.2.0 – 8.2.2
• MongoDB Server 8.0.0 – 8.0.16
• MongoDB Server 7.0.0 – 7.0.27
• MongoDB Server 6.0.0 – 6.0.26
• MongoDB Server 5.0.0 – 5.0.31
• MongoDB Server 4.4.0 – 4.4.29
• 所有 MongoDB Server v4.2.* 版本
• 所有 MongoDB Server v4.0.* 版本
• 所有 MongoDB Server v3.6.* 版本

四、修复建议

立即升级到安全版本：

• 8.2.x → 升级至 8.2.3+
• 8.0.x → 升级至 8.0.17+
• 7.0.x → 升级至 7.0.28+
• 6.0.x → 升级至 6.0.27+
• 5.0.x → 升级至 5.0.32+
• 4.4.x → 升级至 4.4.30+

最后提醒：CVE-2025-14847是一个高危的未授权内存泄露漏洞，利用简单、危害严重。建议所有使用MongoDB的组织立即开展排查和修复工作，避免敏感数据泄露风险。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：金夏安全 金夏《【漏洞检测脚本】MongoDB 未授权内存泄露漏洞（CVE-2025-14847）》