بدون احراز هویت، بدون محدودیت؛ MongoDB به مهاجمان فرصت می‌دهد

کمیته رکن چهارم – آسیب‌پذیری بحرانی تازه‌ای در MongoDB شناسایی شده که به مهاجمان اجازه می‌دهد بدون ورود به سیستم، با بهره‌گیری از نقصی در فشرده‌سازی zlib به داده‌های حساس حافظه سرور دسترسی یابند.

به گزارش کمیته رکن چهارم، آسیب‌پذیری خطرناکی در پایگاه داده MongoDB شناسایی شده که به مهاجمان امکان می‌دهد تنها با ارسال درخواست‌های دست‌کاری‌شده، بدون نیاز به ورود یا احراز هویت، به اطلاعات ذخیره‌شده در حافظه موقت سرور دسترسی پیدا کنند. این آسیب‌پذیری که با شناسه CVE-2025-14847 ثبت شده، در لایه انتقال شبکه و در نحوه مدیریت فشرده‌سازی zlib رخ می‌دهد.

بررسی‌های فنی نشان می‌دهد این نقص ناشی از ناهماهنگی در فیلدهای طول (Length Fields) در هدرهای فشرده‌سازی است که باعث می‌شود هنگام پاسخ‌دهی سرور، قطعاتی از حافظه بازنشانی‌نشده (Uninitialized Heap Memory) به کلاینت بازگردد. از آنجا که این فرآیند پیش از فعال‌سازی سیستم احراز هویت رخ می‌دهد، مهاجمان می‌توانند در همان مراحل اولیه ارتباط، حمله را آغاز کنند.

اطلاعات در معرض خطر شامل موارد حساسی مانند گذرواژه‌های پایگاه داده، کلیدهای دسترسی به سرویس‌های ابری نظیر AWS، توکن‌های نشست کاربران، و داده‌های کش‌شده مانند کوئری‌ها و اسناد قبلی است. این آسیب‌پذیری طیف گسترده‌ای از نسخه‌های MongoDB را در بر می‌گیرد که در جدول زیر آمده است:

با توجه به انتشار عمومی کدهای اثبات مفهوم (PoC) برای این آسیب‌پذیری در گیت‌هاب، اتخاذ اقدامات فوری برای جلوگیری از سوءاستفاده ضروری است. کارشناسان توصیه می‌کنند:

1. سرورهای MongoDB را فوراً به نسخه‌های اصلاح‌شده ارتقا دهید.

2. در صورت عدم امکان ارتقاء فوری، فشرده‌سازی zlib را در تنظیمات غیر فعال کنید.

3. دسترسی به پورت ۲۷۰۱۷ را فقط به IPهای مشخص محدود نمایید.

4. پس از به‌روزرسانی، تمام گذرواژه‌ها، توکن‌ها و کلیدهای حساس را تغییر دهید.

این آسیب‌پذیری با توجه به گستره نسخه‌های تحت تأثیر و امکان سوءاستفاده بدون نیاز به احراز هویت، یکی از جدی‌ترین تهدیدات امنیتی برای زیرساخت‌های مبتنی بر MongoDB به شمار می‌رود و مستلزم واکنش فوری مدیران سامانه‌هاست.