Falha crítica no MongoDB permite leitura de memória sem autenticação

Uma falha de segurança de alta gravidade foi divulgada recentemente no MongoDB, banco de dados amplamente utilizado em aplicações corporativas e ambientes em nuvem. A vulnerabilidade, identificada como CVE-2025-14847 e classificada com pontuação CVSS de 8,7, pode permitir que hackers não autenticados leiam áreas de memória não inicializadas do servidor.

O problema está relacionado ao tratamento incorreto de inconsistências no campo de comprimento (length) em cabeçalhos de protocolo que utilizam compressão Zlib. Em cenários específicos, essa falha faz com que o servidor processe dados cujo tamanho declarado não corresponde ao conteúdo real, abrindo espaço para que um invasor remoto obtenha informações armazenadas temporariamente na memória (heap).

De acordo com a descrição oficial do CVE, campos de tamanho incompatíveis em cabeçalhos comprimidos com Zlib podem permitir a leitura de memória heap não inicializada por um cliente não autenticado. Na prática, isso significa que um hacker pode explorar a falha sem sequer possuir credenciais válidas para acessar o banco de dados.

A vulnerabilidade impacta uma ampla gama de versões do MongoDB Server, incluindo:

• MongoDB 8.2.0 a 8.2.3

• MongoDB 8.0.0 a 8.0.16

• MongoDB 7.0.0 a 7.0.26

• MongoDB 6.0.0 a 6.0.26

• MongoDB 5.0.0 a 5.0.31

• MongoDB 4.4.0 a 4.4.29

• Todas as versões do MongoDB Server 4.2, 4.0 e 3.6

O problema já foi corrigido nas versões 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 e 4.4.30.

Segundo a própria MongoDB, um exploit do lado do cliente explorando a implementação Zlib pode retornar memória não inicializada do servidor sem necessidade de autenticação. Essa memória pode conter informações sensíveis em tempo de execução, como estados internos do sistema, ponteiros e outros dados que podem facilitar ataques mais sofisticados.

A empresa de segurança OP Innovate reforça que a falha pode resultar na exposição de dados críticos em memória, ampliando significativamente a superfície de ataque e auxiliando hackers em movimentos laterais ou na exploração de outras vulnerabilidades.

A recomendação principal é atualizar imediatamente para uma versão corrigida do MongoDB.

Caso a atualização não seja possível no curto prazo, a orientação é desabilitar o uso de compressão Zlib, iniciando o mongod ou mongos com as opções:

• networkMessageCompressors

• net.compression.compressors

excluindo explicitamente o zlib. O MongoDB continua oferecendo suporte a outros algoritmos de compressão, como snappy e zstd, que não são afetados por essa falha.

Via - THN