Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] MongoDB Server opravuje vysoko závažnú zraniteľnosť

MongoDB Server vo verziách 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 a 4.4.30 opravuje vysoko závažnú, aktívne zneužívanú zraniteľnosť [1][2]. Opravy na MongoDB Atlas boli aplikované automaticky [3]. Z najbežnejších linuxových distribúcií je postihnuté napríklad Ubuntu (vydania focal 20.04 a bionic 18.04) [4]. Systémy Red Hat postihnuté nie sú [5]. Gentoo zraniteľnosť eviduje [6], pričom oprava je zatiaľ k dispozícii v upstreame [7].

MongoDB Server - neoprávnené čítanie pamäte (CVE-2025-14847)
CVSS 8.7 (High)

Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene čítať potenciálne citlivé dáta z neinicializovanej pamäte servera [8]. Ak nie je možná okamžitá aktualizácia, riziko je možné dočasne zmierniť zákazom kompresie zlib spustením inštancií mongod alebo mongos s parametrom 'networkMessageCompressors' alebo 'net.compression.compressors' špecificky vylučujúcim zlib (napr. snappy alebo zstd) [1]. PoC je k dispozícii na [9].

Zraniteľnosť sa nachádza v produkte:

  • MongoDB Server; >=3.6, <=3.6.23; >=4.0, <=4.0.28; >=4.2, <=4.2.25; >=4.4, <4.4.30; >=5.0, <5.0.32; >=6.0, <6.0.27; >=7.0, <7.0.28; >=8.0, <8.0.17; >=8.2, <8.2.3;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 19. 12. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 30. 12. 2025.

CESNET, z.s.p.o. Logo