Trusted Design

解説:

CVE-2025-14847は、MongoDB Serverのzlib圧縮処理における長さフィールドの不整合が原因で、未認証の攻撃者がサーバーメモリの内容を読み取れる重大な情報漏洩脆弱性です。 Heartbleed（OpenSSL）と非常によく似た性質を持つため、MongoBleedと呼ばれています。

1. 脆弱性の概要 【影響】 ・未認証のリモート攻撃者が、細工した zlib 圧縮パケットを送信するだけでMongoDBサーバーのヒープメモリ内容を漏洩させる。 ・認証前にzlib解凍処理が行われるため、認証バイパス的な影響を持つ ・漏洩する可能性がある情報： 　・認証情報（ユーザ名・パスワード断片） 　・セッション情報 　・クエリ内容 　・その他の機密データ断片
   ※漏洩範囲は「未初期化メモリの断片」であり、完全な構造化データとは限らない

【深刻度】 ・CVSSv4：8.7（High） ・CVSSv3.1：7.5（High） 深刻度は「認証不要」「ネットワーク経由」「機密情報漏洩」という点から、極めて高いリスクと評価されます。

1. 対象となる環境 【影響を受ける MongoDB バージョン】 ・MongoDB Serverのzlib圧縮が有効なすべての主要バージョンが影響。 　※4.2 以前は 修正版が提供されていないため、特に危険。

【影響を受ける設定】 ・zlib圧縮が有効（デフォルトで有効） ・ネットワーク越しに MongoDB が公開されている場合は特に危険
　→ Censysの調査で87,000インスタンスが公開状態とのことです。

1. 影響を受けた時の兆候 MongoBleedは情報漏洩系の脆弱性であり、攻撃の痕跡が残りにくいのが特徴です。

【可能性のある兆候】 ・不正な圧縮パケットに対する異常な接続数の増加（zlib 解凍エラー） ・networkログに不正なメッセージ長の警告（ただし詳細は不明） ・CPU使用率の微増（大量のzlib解凍試行） ただし、Heartbleedと同様に明確な痕跡が残らない可能性が高い。

1. 推奨対策 【本対策（恒久対策）】 MongoDBが提供する修正版へのアップグレードが唯一の恒久対策です。 ただし、4.2以前のバージョンは修正版が提供されていないので、バージョンアップが必須です。

【暫定回避策（緩和策）】 MongoDB公式や各セキュリティベンダーが示す緩和策： ・zlib 圧縮を無効化する 　net.compression.compressorsからzlibを除外
　→ これにより脆弱なコードパスが実行されなくなる ・MongoDBを外部公開しない 　・ファイアウォールでアクセス制限 　・VPC 内に閉じる 　・SSH トンネル経由に限定 ・認証を必ず有効化 　影響は認証前に発生するが、攻撃対象を絞る効果はある ・WAF / IDSによる異常パケット検知 　・PoCが公開されているため、既知シグネチャで検知可能

1. 追加で知っておくべき観点 ・実際に悪用が確認されている ・PoC が 2025/12/26 に公開され、直後に悪用が観測 ・世界中で 87,000 以上の公開 MongoDB が危険状態 ・旧バージョンは修正されない ・4.2 / 4.0 / 3.6 系は EOL のため修正なしがなく、これらを使い続けるのは極めて危険