MongoDB CVE-2025-14847の緊急修正: "MongoBleed" メモリリークのパッチ適用

Aisha Washington
6月6日
読了時間: 8分

更新日：6月17日

Urgent Fix for MongoDB CVE-2025-14847: Patching the "MongoBleed" Memory Leak

2025年12月の終わりです。世界中のほとんどの人が大晦日の準備をしている中、システム管理者は誰も望まなかったクリスマスプレゼント、MongoDB CVE-2025-14847に対応しています。

セキュリティ研究者によって「MongoBleed」と名付けられたこの脆弱性は、複雑なリモートコード実行の連鎖ではありません。MongoDBがzlib圧縮ヘッダーを処理する方法の不具合によって引き起こされる、単純な認証不要のメモリリークです。ポート27017がインターネット、あるいは信頼できない内部ネットワークに公開されている場合、認証キーや隣接メモリを含むデータが現在読み取られている可能性が高いです。

CISAは12月30日にこれを既知の悪用された脆弱性（KEV）カタログに追加し、実世界での活発な悪用を確認しました。

この記事の冒頭に技術的な解決策を記載しています。もしあなたがここにいるなら、まずこれを修正し、後で背景をお読みください。

MongoDB CVE-2025-14847 の即時緩和策

Immediate Mitigation for MongoDB CVE-2025-14847

この脆弱性は message_compressor_zlib.cpp の実装に存在します。これは過去10年間にリリースされた MongoDB のほぼ全てのバージョン、具体的にはパッチ前の v3.6 から v8.2 までに影響します。

1. アップグレードパス

パッチを適用できる場合は、直ちに適用してください。公式の修正により、zlib プロトコルヘッダーの長さの不一致が解消され、ヒープメモリリークが可能になります。

セキュアバージョン:

v8.2: にアップグレードしてください8.2.3 以降
v8.0: にアップグレードしてください8.0.17以降
v7.0:にアップグレードしてください 7.0.28以降
v6.0:にアップグレードしてください 6.0.27以降
v5.0: にアップグレードしてください 5.0.32 以降
v4.4: にアップグレードしてください 4.4.30 以降

旧バージョン (3.6, 4.0, 4.2) はサポート終了 (EOL) となり、パッチは提供されません。これらのバージョンを使用している場合は、以下の設定回避策を使用する必要があります。

2. 設定回避策 (Zlib の無効化)

アップグレードのためにオフラインにできないシステム、またはレガシーバージョンでは、MongoDB CVE-2025-14847 を zlib 圧縮を無効にすることで無力化できます。このエクスプロイトは、メモリ読み取りをトリガーするために zlib コンプレッサーに依存しています。それがないと、攻撃ベクトルは閉じます。MongoDB CVE-2025-14847zlib コンプレッサーに依存せずに攻撃ベクトルを閉じます。

mongod.conf (通常は /etc/mongod.conf) を編集して、コンプレッサーリストから zlib を削除します。

codeYaml

net:
  compression:
    compressors: snappy,zstd  # このリストに zlib が含まれていないことを確認してください

デフォルト設定に現在依存している場合は、zlib を除外するようにコンプレッサーを明示的に設定してください。この変更を有効にするには、mongod サービスを再起動してください。

3. ネットワーク分離

この脆弱性は、データベースポートへのネットワークアクセスを必要とします。MongoDB インスタンスが 0.0.0.0 にバインドされており、パブリックインターネットからアクセス可能な場合は、ファイアウォール (iptables、AWS Security Groups、UFW) を使用して、信頼された IP アドレスのみをホワイトリストに登録してください。

MongoDB CVE-2025-14847（"MongoBleed"）の仕組み

How MongoDB CVE-2025-14847 Works ("MongoBleed")

2014年の悪名高い「Heartbleed」脆弱性との比較は、単なる劇的な効果のためだけではありません。その仕組みは驚くほど似ています。

MongoDB CVE-2025-14847 はヒープ情報漏洩です。クライアントが特定の不正なヘッダーを持つ圧縮パケットを送信すると、MongoDBサーバーはそれを解凍しようとします。このバグは、サーバーがバッファサイズを計算する方法にあります。サーバーは、実際の解凍されたデータサイズではなく、割り当てられたバッファサイズを返します。

その結果、サーバーがクライアントに応答を送信する際に、実際のデータに加えて、割り当てられたバッファを埋めるために隣接する初期化されていないヒープメモリにあったジャンクデータが含まれます。

これは何を公開しますか？このメモリはヒープ上にあるため、多くの場合、次のような非常に機密性の高い一時データが含まれています。

認証情報（パスワード、ハッシュ）。
APIキー（AWSキー、サードパーティートークン）。
他のユーザーが最近アクセスしたコレクションデータ。
システムメモリの断片。

運用チームにとって恐ろしいのは、これには有効なユーザー名やパスワードが不要であるということです。攻撃者はポートに接続し、不正なパケットを送信するだけで済みます。現在GitHubで流通しているエクスプロイトスクリプトは、このプロセスを自動化し、メモリをチャンクごとにダンプして、秘密鍵のような認識可能な文字列が見つかるまで続けます。

コミュニティ分析：MongoDB CVE-2025-14847の実際のインパクト

Community Analysis: Real-World Impact of MongoDB CVE-2025-14847

Proof of Concept（PoC）が12月26日頃に公開されて以来、システム管理者とセルフホストコミュニティはインフラストラクチャのストレステストを行っています。

Ubisoft事件と認証情報ローテーション

exploitのリリースと同時に、Ubisoftを含む主要なエンティティがこの経路を通じて侵害された可能性を示唆する報告が浮上しています。これは、パッチ適用後の重要なステップ、すなわち「認証情報ローテーション」の必要性を強調しています。認証情報ローテーション。

パッチは脆弱性を塞ぎますが、すでに盗まれたものを消去するわけではありません。このexploitはメモリのサイレント読み取りを可能にするため、ログに「ログイン失敗」の試行が必ずしも表示されるとは限りません。zlibに関連する奇妙な接続終了エラーが表示される可能性もありますが、高度な攻撃者はノイズを抑えることができます。脆弱であった場合、データベースユーザーやメモリに保存されている認証情報（アプリが使用するAWSキーなど）はすべて侵害されたと想定してください。それらをローテーションしてください。

Ubiquiti UniFiコントローラー

ホームラボやMSPの分野で大きな懸念事項となっているのは、Ubiquiti UniFi Network Application（CloudKeys）です。これは、古いMongoDBバージョン（多くの場合3.6または4.4）に大きく依存しています。

コミュニティテストでは、リスクの度合いが混在していることが示されています：

ローカルホストデフォルト： ほとんどの標準的なCloudKeyのインストールでは、MongoDBは127.0.0.1にバインドされています。コントローラーがNATの後ろにあり、DBポート（27017）が転送されていない場合、リスクは内部の脅威に限定されます。
カスタム/Dockerインストール：DockerコンテナまたはカスタムVPSセットアップでUniFiコントローラーを実行しているユーザーは、ネットワークをブリッジするためにbind-IPsをよく変更します。厳格なファイアウォールなしでこれを行った場合、コントローラーデータが公開されます。

「クリスマスエクスプロイト」の疲弊

このリリース時期は、運用コミュニティから大きな怒りを引き起こしました。MongoDB（ベンダー）はこの問題について12月中旬に認識していましたが、PoCのサードパーティによる公開リリースはホリデー期間中に発生しました。これにより、家族との時間を過ごす中で、緊急パッチサイクルの管理をスケルトンクルーに強制されました。

ホリデーエクスプロイトドロップのこの傾向は、戦略の変更を強制します。変更凍結はもはや「セキュリティ凍結」を意味することはできません。インシデント対応計画には、法定休日中の高深刻度CVSS 8.7+開示に関する特定のプロトコルが必要です。

エクスプロイト試行の検出

あなたが判断しようとしている場合 MongoDB CVE-2025-14847 があなたに対して使用された場合、標準ログでは不十分な場合があります。攻撃は、圧縮段階で失敗する正当な接続ネゴシエーションのように見えます。

ただし、以下の異常を監視することで役立つ場合があります。

Zlibエラーの急増:message_compressor_zlib に関するアサーション失敗やエラーの急増に注意してください。
接続の乱高下:攻撃者はエクスプロイトスクリプトを実行する際、メモリのさまざまなセクションをダンプするために繰り返し再接続することがよくあります。認証されない単一のIPからの接続の急増は、危険信号です。
PoC 検証:ご自身の脆弱性を安全に検証できます。セキュリティ研究コミュニティで利用可能な Python スクリプトを使用して、サーバーに対してチェックを実行します（ローカルで）: python3 exploit.py --host 127.0.0.1 --port 27017 --check "Vulnerable" と返された場合は、最初のセクションで説明されている設定変更をすぐに適用してください。

FAQ: MongoDB CVE-2025-14847 の管理

MongoDB CVE-2025-14847 はリモートコード実行（RCE）の脆弱性ですか？

いいえ、認証されていないメモリ読み取りの脆弱性です。攻撃者はこのバグを通じて直接コードを実行したりマルウェアをインストールしたりすることはできませんが、ログインに必要な認証情報を盗むことができます。その後 悪意のあるコマンドを実行したり、データを削除したりします。

これはMongoDB Atlas（マネージドサービス）に影響しますか？

MongoDB Atlas は、公開前にベンダーによってパッチ適用されました。マネージドクラウドサービスをご利用の場合、保護されている可能性が高いですが、ダッシュボードでクラスターのバージョンがパッチ適用済みのバージョン（例：7.0.28+）と一致していることを確認してください。

MongoDB 3.6 のレガシーデータベースをアップグレードできません。どうすればよいですか？

バージョン 3.6 はサポート終了 (End of Life) であり、パッチは提供されないため、選択肢は mongod.conf ファイルで zlib 圧縮を無効にするか、サーバーがアプリケーションサーバーのローカル IP からのみトラフィックを許可するように厳密にファイアウォールで保護することです。

CISA の関与がこの CVE にとって重要なのはなぜですか？

CISA が MongoDB CVE-2025-14847 を KEV カタログに追加することは義務付けられています。米連邦機関が特定の締め切りまでにこの問題を修正することを意味します。これは、エクスプロイトが信頼性が高く、利用可能であり、脅威アクターがシステム侵害に積極的に使用していることを民間セクターに示します。

このエクスプロイトをブロックするためにWAFを使用できますか？

標準的なWebアプリケーションファイアウォール（WAF）は通常、HTTP/HTTPSトラフィックを検査します。MongoDBはカスタムバイナリプロトコルを使用しているため、標準的なWAFはこのトラフィックを認識しません。データベースファイアウォールまたは厳格なネットワークセグメンテーション（ACL）を使用して、ポートへのアクセスをブロックする必要があります。