MongoBleed: פרצה מנוצלת ב-MongoDB, וסוכנויות בארה״ב חייבות לתקן עד 19 בינואר
ב-29 בדצמבר 2025 הוסיפה CISA לקטלוג KEV את MongoBleed (CVE-2025-14847), דליפת זיכרון ב-MongoDB בלי הזדהות. MongoDB תיקנה ב-19 בדצמבר, וקוד ניצול כבר זמין לציבור.
TL;DR בקצרה
- CISA הוסיפה ב-29 בדצמבר 2025 את CVE-2025-14847 (MongoBleed) לקטלוג KEV: דליפת זיכרון ב-MongoDB שאינה דורשת הזדהות.
- MongoDB תיקנה ב-19 בדצמבר. הגרסאות המתוקנות: 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 ו-4.4.30. לגרסאות 4.2, 4.0 ו-3.6 אין תיקון.
- לפי Wiz, קוד ניצול עובד זמין מ-26 בדצמבר, ובכ-42% מסביבות הענן שהיא צופה בהן יש מופע פגיע אחד לפחות.
- אי אפשר לעדכן מיד? אפשר להסיר את zlib מרשימת הדחיסה ברשת. ב-MongoDB Atlas אין צורך בפעולה, לפי Wiz.
ב-29 בדצמבר 2025 הוסיפה CISA לקטלוג החולשות המנוצלות (KEV) את MongoBleed. זו פרצה ב-MongoDB שמאפשרת לתוקף בלי הזדהות לשאוב מידע מזיכרון השרת. החולשה, CVE-2025-14847, כבר קיבלה תיקון מ-MongoDB ב-19 בדצמבר. עם זאת, תוקפים החלו לנצל אותה ב-27 וב-28 בדצמבר, אחרי שחוקר שחרר קוד הוכחה.
CISA היא סוכנות הסייבר של ארה״ב, והקטלוג שלה מונה חולשות שיש עדות לניצול שלהן. לסוכנויות פדרליות יש מועד לתקן, וכאן הוא 19 בינואר 2026, לפי BleepingComputer. גם מי שאינו גוף פדרלי יכול להשתמש בקטלוג כרשימת עדיפויות.
MongoBleed: איך הפרצה עובדת
הבעיה בקוד ש-MongoDB Server משתמש בו להודעות רשת שנדחסו ב-zlib. לפי Wiz, הקוד החזיר את הנפח שהוקצה בזיכרון ולא את האורך האמיתי של המידע אחרי הפריסה. לכן הודעה דחוסה שנבנתה בכוונה גרמה לשרת להחזיר חלקים מהזיכרון שלא אותחלו.
הבדיקה הזאת קורית לפני ההזדהות. התוקף לא צריך שם משתמש או סיסמה, וגם לא פעולה של משתמש כלשהו. לפי BleepingComputer, בזיכרון כזה עשויים להיות פרטי התחברות, מפתחות API וענן, אסימוני סשן ומידע אישי.
זו דליפה ולא השתלטות על השרת. אבל מה שדולף הוא מה שהיה בזיכרון באותו רגע, וזה עלול לכלול סודות של האפליקציה.
אילו גרסאות של MongoDB חשופות
MongoDB פרסמה תיקונים לשש שורות גרסאות: 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 ו-4.4.30. בשורות 4.4 עד 8.2, כל גרסה שקדמה לתיקון חשופה. לגרסאות 4.2, 4.0 ו-3.6 אין תיקון בכלל, והן נשארות חשופות.
Wiz מציינת ש-MongoDB Atlas קיבל את התיקון אוטומטית, ולכן לקוחותיו אינם צריכים לעשות דבר. מי שמריץ MongoDB בעצמו, על שרת, במכולה או בענן, חשוף עד שיעדכן.
MongoBleed בשטח: קוד ניצול פומבי ואלפי שרתים חשופים
לפי Wiz, קוד ניצול עובד זמין לציבור מ-26 בדצמבר. BleepingComputer מייחסת קוד הוכחה שמדליף זיכרון לחוקר Joe Desimone מ-Elastic. Wiz דיווחה על ניצול בפועל ב-27 וב-28 בדצמבר, ו-CISA אישרה את הדיווח.
ההיקף גדול. ב-29 בדצמבר מצאה Shadowserver מעל 74,000 מופעי MongoDB חשופים לאינטרנט ופגיעים, לפי BleepingComputer. Censys עוקבת אחר מעל 87,000 כתובות שנראות כמריצות גרסה לא מתוקנת. לפי Wiz, ב-42% מסביבות הענן שהיא רואה יש לפחות מופע אחד פגיע.
למה גם שרת פנימי צריך להתעדכן
הנתון של Wiz כולל משאבים ציבוריים ופנימיים כאחד. שרת פנימי פחות חשוף לאינטרנט, אבל תוקף שכבר נכנס לרשת יכול לפנות אליו. כך פרצה קטנה בצד אחד הופכת לדרך לסודות בצד אחר.
לפי BleepingComputer, מעל 62,500 ארגונים משתמשים ב-MongoDB באפליקציות שלהם. לכן כדאי לבדוק גם מערכות ישנות שלא נגעתם בהן זמן רב. שם עלולה להישאר גרסה לא מתוקנת.
מה זה אומר עבורכם
- עדכנו את MongoDB: עברו לגרסה 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 או 4.4.30, לפי השורה שלכם.
- אי אפשר לעדכן עכשיו? הסירו את zlib מההגדרה networkMessageCompressors או net.compression.compressors. MongoDB מציינת snappy, zstd או כיבוי הדחיסה, ואחר כך מפעילים את השרת מחדש.
- סגרו את השרת מהאינטרנט: הגבילו אותו ברשת פרטית או בחומת אש, כמו ש-Wiz ממליצה.
- בדקו סימני ניצול: חפשו ביומנים חיבורים חריגים שנעשו לפני הזדהות, וגם קריסות שלא היו צפויות.
- החליפו סודות: אם השרת היה חשוף, הניחו שפרטי התחברות ומפתחות שעברו בו עלולים להיות חשופים.
- תכננו שדרוג: לגרסאות 4.2, 4.0 ו-3.6 אין תיקון, ולכן צריך לעבור לגרסה נתמכת.
מה קרה מאז
ב-30 בדצמבר 2025 פרסמה גם הסוכנות הסינגפורית CSA התראה על החולשה. ב-31 בדצמבר עדכנה Wiz את הפוסט שלה בתבנית Nuclei. התבנית משגרת חבילה אחת שנבנתה בכוונה ובודקת אם השרת פגיע, בלי לשלוף נתוני לקוחות.
מקורות והרחבה
- CISA Adds One Known Exploited Vulnerability to CatalogCISA
- MongoBleed (CVE-2025-14847): exploited in the wild in MongoDBWiz
- SERVER-115508: Make minimally sized buffers for uncompressed MessagesMongoDB
- CISA orders feds to patch MongoBleed flaw exploited in attacksBleepingComputer
- High Severity Vulnerability in MongoDB ServerCSA Singapore
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
