MongoDB Zlib 压缩协议堆内存信息泄露漏洞安全警告

UCloud-202512-004:MongoDB Zlib 压缩协议堆内存信息泄露漏洞安全警告

发布时间 2025-12-28
更新时间 2025-12-28
漏洞等级 High
CVE编号 CVE-2025-14847

漏洞详情

MongoDB 是一款基于 C++ 开发的开源 NoSQL 数据库系统，广泛应用于各类 Web 与业务系统中，具备高性能、高可用和自动扩展等特性。

2025 年 12 月，UCloud 安全中心监测并确认 MongoDB 存在一处未授权内存信息泄露漏洞（CVE-2025-14847）。
经分析，漏洞源于 MongoDB 网络传输层在处理 Zlib 压缩数据时的逻辑缺陷。在相关代码实现中，程序错误地使用了已分配内存长度，而非实际解压后的数据长度，导致在特定条件下可能读取到未初始化的堆内存内容，从而引发信息泄露风险。该漏洞允许未经身份验证的远程攻击者通过构造特定网络数据包，直接读取 MongoDB 服务进程内存中的敏感信息，无需任何认证即可利用，攻击门槛较低。

影响范围

- MongoDB Server 8.2.0 – 8.2.2

- MongoDB Server 8.0.0 – 8.0.16

- MongoDB Server 7.0.0 – 7.0.27

- MongoDB Server 6.0.0 – 6.0.26

- MongoDB Server 5.0.0 – 5.0.31

- MongoDB Server 4.4.0 – 4.4.29

- MongoDB Server 4.2.0 及以上

- MongoDB Server 4.0.0 及以上

- MongoDB Server 3.6.0 及以上

修复方案

官方升级修复

请用户尽快升级至官方已修复版本：

- 8.2.x → 升级至 8.2.3

- 8.0.x → 升级至 8.0.17

- 7.0.x → 升级至 7.0.28

- 6.0.x → 升级至 6.0.27

- 5.0.x → 升级至 5.0.32

- 4.4.x → 升级至 4.4.30

升级完成后，请重启 MongoDB 服务以确保补丁生效。

临时缓解措施

在无法立即完成版本升级的情况下，建议采取以下临时防护措施以降低风险：

- 避免将 MongoDB 服务直接暴露在互联网

- 通过防火墙或安全组限制访问来源，仅允许可信 IP 访问

- 确保 MongoDB 启用身份认证机制

- 加强对异常网络流量与访问日志的监控

参考链接

https://jira.mongodb.org/browse/SERVER-115508

漏洞详情

影响范围

修复方案

参考链接

UCloud与云服务

快速入口

常见问题

用户俱乐部