UCloud-202512-004:MongoDB Zlib 压缩协议堆内存信息泄露漏洞安全警告
- 发布时间
- 更新时间
- 2025-12-28
- 漏洞等级
- High
- CVE编号
- CVE-2025-14847
漏洞详情
MongoDB 是一款基于 C++ 开发的开源 NoSQL 数据库系统，广泛应用于各类 Web 与业务系统中，具备高性能、高可用和自动扩展等特性。
2025 年 12 月，UCloud 安全中心监测并确认** MongoDB 存在一处未授权内存信息泄露漏洞（CVE-2025-14847）**。
经分析，漏洞源于 MongoDB 网络传输层在处理 Zlib 压缩数据时的逻辑缺陷。在相关代码实现中，程序错误地使用了已分配内存长度，而非实际解压后的数据长度，导致在特定条件下可能读取到未初始化的堆内存内容，从而引发信息泄露风险。该漏洞允许未经身份验证的远程攻击者通过构造特定网络数据包，直接读取 MongoDB 服务进程内存中的敏感信息，无需任何认证即可利用，攻击门槛较低。
影响范围
MongoDB Server 8.2.0 – 8.2.2
MongoDB Server 8.0.0 – 8.0.16
MongoDB Server 7.0.0 – 7.0.27
MongoDB Server 6.0.0 – 6.0.26
MongoDB Server 5.0.0 – 5.0.31
MongoDB Server 4.4.0 – 4.4.29
MongoDB Server 4.2.0 及以上
MongoDB Server 4.0.0 及以上
MongoDB Server 3.6.0 及以上
修复方案
官方升级修复
请用户尽快升级至官方已修复版本：
8.2.x → 升级至 8.2.3
8.0.x → 升级至 8.0.17
7.0.x → 升级至 7.0.28
6.0.x → 升级至 6.0.27
5.0.x → 升级至 5.0.32
4.4.x → 升级至 4.4.30
升级完成后，请重启 MongoDB 服务以确保补丁生效。
临时缓解措施
在无法立即完成版本升级的情况下，建议采取以下临时防护措施以降低风险：
避免将 MongoDB 服务直接暴露在互联网
通过防火墙或安全组限制访问来源，仅允许可信 IP 访问
确保 MongoDB 启用身份认证机制
加强对异常网络流量与访问日志的监控
参考链接