MongoBleed（CVE-2025-14847）：影响超8万台MongoDB服务器的高危内存泄露漏洞已在野活跃利用

一款名为MongoBleed的高危漏洞（CVE-2025-14847）正被黑客广泛利用。该漏洞影响多个MongoDB版本，CVSS评分高达8.7（紧急修复级别）。截至目前，全球公网暴露的潜在易受攻击MongoDB实例已超过8.7万台。攻击者无需认证即可远程窃取密钥、凭证、会话令牌及其他敏感数据，威胁极其严重。

公开的利用工具（PoC）和技术细节已披露，攻击门槛极低，仅需目标服务器的IP地址即可发起攻击。自2025年12月19日起，官方已为自托管实例发布修复补丁。

漏洞利用原理：类似Heartbleed的内存数据泄露

MongoBleed的根源在于MongoDB服务器处理zlib压缩网络数据包（用于无损数据压缩）的逻辑缺陷。MongoDB在处理网络消息时，返回的是“分配的内存大小”，而非“实际解压后的数据长度”。

攻击者可构造畸形网络消息，谎报解压后的数据尺寸，诱使服务器分配过大的内存缓冲区。在此过程中，服务器会将包含敏感信息的未初始化堆内存泄露给攻击者。

泄露的敏感信息包括但不限于：

• 账号凭证和明文数据库密码
• API密钥、云服务密钥
• 会话令牌
• 个人身份信息（PII）
• 内部日志、配置文件和路径信息
• 客户端相关数据

由于解压过程发生在身份认证之前，攻击者无需登录凭证即可发起攻击，操作极其简单。公开PoC工具（由安全研究员开发）只需输入MongoDB实例IP，就能快速挖掘内存中的敏感数据。

zlib压缩原理简图（帮助理解漏洞触发点）：

暴露风险与在野利用现状

根据网络探测平台Censys数据，截至2025年12月27日，全球公网暴露的潜在易受攻击MongoDB实例已达8.7万台。云安全平台Wiz的遥测显示，42%的可见云系统中至少存在一个受该漏洞影响的MongoDB实例（包括内部资源和公网节点）。

目前已监测到MongoBleed在野利用行为，部分威胁者甚至声称在育碧《彩虹六号：围攻》在线平台入侵事件中可能使用了该漏洞。企业需优先完成补丁更新，并排查是否已遭入侵。

检测建议：重点监控“发起数千次连接但未产生任何元数据事件的源IP地址”。注意，该方法基于当前公开PoC逻辑，高级攻击者可能通过伪造元数据或降低攻击频率来规避检测。

受影响版本范围（极广）

MongoBleed影响范围覆盖从旧版到新版的大量MongoDB Server实例，具体如下：

• MongoDB 8.2.0 至 8.2.2（修复至 8.2.3）
• MongoDB 8.0.0 至 8.0.16（修复至 8.0.17）
• MongoDB 7.0.0 至 7.0.26（修复至 7.0.28）
• MongoDB 6.0.0 至 6.0.26（修复至 6.0.27）
• MongoDB 5.0.0 至 5.0.31（修复至 5.0.32）
• MongoDB 4.4.0 至 4.4.29（修复至 4.4.30）
• 所有MongoDB Server v4.2、v4.0、v3.6版本（已停止支持，无官方修复）

MongoDB Atlas（全托管服务）用户无需手动操作，官方已自动推送补丁。

修复与缓解措施

MongoDB官方强烈建议立即将服务器升级至安全版本。如果暂时无法升级，可在服务器上禁用zlib压缩功能（官方提供具体操作指南）。目前暂无其他临时规避方案。

推荐行动：

1. 立即检查并升级MongoDB版本。
2. 轮换所有可能泄露的凭证和密钥。
3. 限制MongoDB端口（默认27017）的公网暴露，仅允许可信IP访问。
4. 监控日志，排查异常连接行为。

MongoDB MCP Server Overview - MongoDB MCP Server - MongoDB Docs

总结：MongoBleed是近年来MongoDB最严重的安全事件之一，其无认证、易利用的特点使其成为黑客的“香饽饽”。及早升级补丁并加强访问控制，是保护数据安全的唯一有效方式。建议所有MongoDB管理员立即行动，避免敏感数据进一步泄露。