JVNDB-2025-023931

 MongoDB Inc.のMongoDBにおけるレングスパラメーターの不整合による処理に関する脆弱性

Zlibで圧縮されたプロトコルヘッダーにおける長さフィールドの不一致が原因で、認証されていないクライアントが初期化されていないヒープメモリを読み取る可能性があります。この問題は、MongoDB Server v7.0の7.0.28未満のすべてのバージョン、MongoDB Server v8.0の8.0.17未満のバージョン、MongoDB Server v8.2の8.2.3未満のバージョン、MongoDB Server v6.0の6.0.27未満のバージョン、MongoDB Server v5.0の5.0.32未満のバージョン、MongoDB Server v4.4の4.4.30未満のバージョン、ならびにMongoDB Server v4.2以降、v4.0以降、およびv3.6以降のバージョンにも影響します。

MongoDB Inc.

• MongoDB 3.6.0 以上 4.4.30 未満
• MongoDB 5.0.0 以上 5.0.32 未満
• MongoDB 6.0.0 以上 6.0.27 未満
• MongoDB 7.0.0 以上 7.0.28 未満
• MongoDB 8.0.0 以上 8.0.17 未満
• MongoDB 8.2.0 以上 8.2.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

MongoDB Inc.

• JIRA : [SERVER-115508] Make minimally sized buffers for uncompressed Messages - MongoDB Jira

Vicarius

• vsociety_ : CVE-2025-14847 Detection Script - Heap Memory Exposure in MongoDB Server - vsociety
• vsociety_ : CVE-2025-14847 Mitigation Script - Heap Memory Exposure in MongoDB Server - vsociety

1. レングスパラメーターの不整合による不適切な処理(CWE-130) [その他]

1. CVE-2025-14847

1. National Vulnerability Database (NVD) : CVE-2025-14847
2. CISA Known Exploited Vulnerabilities Catalog : CVE-2025-14847
3. 関連文書 : oss-security - "MongoBleed" CVE-2025-14847 in many versions of MongoDB

• [2026年01月06日]
    掲載