Luka w obsłudze kompresji zlib w MongoDB pozwala bez logowania odczytać fragmenty pamięci serwera z danymi klientów i hasłami. CISA potwierdza ataki. Zaktualizuj bazę lub wyłącz zlib i odetnij port od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, których sklep, aplikacja lub system wewnętrzny korzysta z bazy danych MongoDB, na własnym serwerze albo u dostawcy. Werdykt: jeśli serwer MongoDB nie ma wersji z poprawką (8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 lub 4.4.30), zaktualizuj go lub wyłącz kompresję zlib dziś, bo luka pozwala bez logowania wyciągać fragmenty danych z pamięci serwera i jest aktywnie wykorzystywana.
Amerykańska agencja CISA 29 grudnia 2025 roku dopisała podatność CVE-2025-14847, nazywaną „MongoBleed”, do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w obsłudze spakowanych (kompresja zlib) wiadomości sieciowych w serwerze MongoDB. Niezalogowany klient może odczytać fragmenty niewyczyszczonej pamięci serwera, w których mogą znajdować się resztki cudzych zapytań i danych.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 19 stycznia 2026 roku. Skutkiem jest wyciek, a nie przejęcie serwera: baza działa dalej normalnie, więc incydentu nie widać w żadnym raporcie o dostępności.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-14847 |
Data dodania do CISA KEV | 2025-12-29 |
Termin naprawy wg CISA | 2026-01-19 |
Produkt | MongoDB Server (mongod i mongos) |
Wersje zagrożone | 8.2 poniżej 8.2.3; 8.0 poniżej 8.0.17; 7.0 poniżej 7.0.28; 6.0 poniżej 6.0.27; 5.0 poniżej 5.0.32; 4.4 poniżej 4.4.30; wszystkie wersje gałęzi 4.2, 4.0 i 3.6. Podatność dotyczy obsługi kompresji zlib w protokole sieciowym |
Wersje bezpieczne | 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32, 4.4.30 i nowsze w tych liniach. Gałęzie 4.2, 4.0 i 3.6 nie mają poprawki, jedyną drogą jest przejście na wspieraną linię |
Typ podatności | Odczyt niezainicjowanej pamięci przez niespójność pola długości; CWE-130 |
Ocena CVSS | MongoDB: 8.7 (CVSS 4.0, WYSOKA) oraz 7.5 (CVSS 3.1, WYSOKA). Atak przez sieć, bez logowania i bez udziału użytkownika; naruszona tylko poufność |
Wystarczy podnieść wersję w ramach linii, którą firma już ma (np. z 7.0.20 do 7.0.28), bez przechodzenia na najnowszą gałąź.
Wyobraź sobie dziennik, który w biurze przechodzi z rąk do rąk, a nikt nie wydziera zapisanych kartek, tylko zaznacza je jako „wolne”. Ktoś prosi recepcjonistkę: „przeczytaj mi mój wpis, ma pięć stron”, choć jego wpis ma jedną stronę. Recepcjonistka nie sprawdza, ile faktycznie napisał, i czyta pięć stron, a cztery z nich to notatki poprzednich osób.
Tak działał błąd w MongoDB. Spakowana wiadomość ma na początku informację, ile zawiera treści. Serwer wierzył tej informacji zamiast sprawdzić, ile naprawdę przyszło, i brakującą część uzupełniał zawartością własnej pamięci, w której leżały resztki po obsłudze innych zapytań. Napastnik nie musi mieć konta: wystarczy, że połączy się z serwerem bazy.
💡 MongoDB to popularna baza danych, w której aplikacje przechowują np. konta klientów, zamówienia i treści. Kompresja zlib to sposób pakowania wiadomości, żeby zajmowały mniej miejsca. Pamięć niezainicjowana to obszar pamięci, którego nie wyczyszczono po poprzednim użyciu. Port bazy danych to „drzwi”, przez które aplikacje łączą się z bazą. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obcy łączy się z portem bazy danych | Bez logowania nie dostaje żadnych danych | Może odczytać fragmenty pamięci serwera |
Dane klientów obsługiwane przez bazę | Dostępne tylko dla aplikacji z hasłem | Fragmenty mogą wyciec w odpowiedziach dla napastnika |
Działanie sklepu lub aplikacji | Normalne | Też normalne, nic nie zdradza wycieku |
Hasła i klucze używane przez aplikacje | Chronione logowaniem do bazy | Mogą pojawić się w odczytanych resztkach pamięci |
Baza dostępna tylko z serwera aplikacji | Bezpieczna konfiguracja | Napastnik z internetu nie ma jak się połączyć |
źródło: Pexels, Connor Scott McManusPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia atak jako możliwy do zautomatyzowania, ze skutkiem częściowym, więc najbardziej narażone są bazy, których port jest widoczny z internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie serwerów MongoDB dostępnych z internetu | Lista adresów baz danych |
2. Sprawdzenie wersji | T+1 min | Ustalenie wersji i obsługi kompresji zlib | Potwierdzony cel |
3. Wyciąganie pamięci | T+1 do 60 min | Wielokrotne wysyłanie spreparowanych spakowanych wiadomości | Setki fragmentów pamięci serwera |
4. Przeszukanie łupu | T+1 do 24 godz. | Wyszukiwanie w fragmentach haseł, kluczy, danych osobowych, treści zapytań | Dane uwierzytelniające i dane klientów |
5. Wykorzystanie zdobyczy | T+1 do 7 dni | Logowanie do bazy lub innych systemów zdobytymi hasłami i kluczami | Pełny dostęp do danych, możliwy dalszy atak |
6. Sprzedaż lub szantaż | T+1 do 4 tygodni | Sprzedaż danych albo żądanie zapłaty za ich niepublikowanie | Wyciek i koszty obsługi naruszenia |
Mogę Ci jakoś pomóc?
Ten błąd „tylko czyta”, ale jest bardzo łatwy do wykorzystania: bez konta, bez udziału użytkownika i hurtowo. Częściowy skutek pomnożony przez masową skalę daje realne ryzyko wycieku danych osobowych, a co gorsza, zdarzenie jest ciche.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Konieczność pilnej aktualizacji lub migracji bazy, zmiana haseł i kluczy aplikacji | Dni | 10 tys. do 150 tys. PLN (praca zespołu, migracja starych gałęzi) |
Bezpieczeństwo danych | Wyciek fragmentów danych klientów, haseł i kluczy dostępu | Godziny od skanowania | 20 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty obsługi naruszenia, możliwy szantaż po wycieku | Tygodnie | 30 tys. do 400 tys. PLN łącznie |
Reputacyjny | Powiadomienia klientów o wycieku, utrata zaufania | Tygodnie do miesięcy | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 15 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla MongoDB bez poprawki
Wpływ
5 | . . . . .
4 | . . . . ■ ← WYSOKIE (port bazy widoczny z internetu)
3 | . □ . . . ← ŚREDNIE (baza tylko w sieci wewnętrznej)
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy bazie widocznej z internetu prawdopodobieństwo jest bardzo wysokie (atak bez logowania, automatyzowalny, potwierdzony), a wpływ wysoki, choć nie maksymalny, bo luka pozwala czytać, a nie zmieniać dane; baza dostępna tylko z serwera aplikacji w tej samej sieci jest dla napastnika z internetu praktycznie nieosiągalna.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, które aplikacje korzystają z MongoDB i jaka jest wersja każdego serwera | Dziś | Programista / dostawca hostingu |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy port bazy danych jest dostępny z internetu, i jeśli tak, ograniczyć go do serwerów aplikacji | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja nie jest możliwa od ręki: wyłączyć kompresję zlib w konfiguracji serwera | Dziś | Administrator bazy danych |
4 | 🟠 PILNIE | Zaktualizować do 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 lub 4.4.30 (w ramach posiadanej linii) albo nowszej | Do 3 dni | Administrator bazy danych |
5 | 🟠 PILNIE | Zmienić hasła i klucze, którymi aplikacje łączą się z bazą, jeśli port był dostępny z internetu | Do 7 dni | Programista / administrator |
6 | 🟠 PILNIE | Dla gałęzi 4.2, 4.0 i 3.6: zaplanować migrację na wspieraną linię i do tego czasu wyłączyć zlib | Plan do 7 dni | CTO |
7 | 🟡 WAŻNIE | Sprawdzić, czy raport skanera podatności wskazuje właściwe programy i wersje, zanim ruszą prace | Przy każdym raporcie | Dział IT |
Producent wydał poprawki dla sześciu utrzymywanych linii. Dla sytuacji, gdy nie można zaktualizować od razu, MongoDB podaje obejście w zgłoszeniu SERVER-115508. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Uruchomienie mongod i mongos z opcją | Wysoka: usuwa podatny mechanizm | Łatwa, wymaga restartu serwera |
Ograniczenie dostępu do portu bazy do serwerów aplikacji (zapora, lista dozwolonych adresów) | Wysoka wobec ataków z internetu | Łatwa do średniej |
Zmiana haseł i kluczy dostępu aplikacji do bazy | Nie zapobiega, ale unieważnia to, co mogło wyciec | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja MongoDB | Bez poprawki | 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32, 4.4.30 lub nowsza |
Kompresja zlib | Włączona na podatnym serwerze | Wyłączona albo serwer z poprawką |
Dostęp do portu bazy | Z całego internetu | Tylko z serwerów aplikacji |
Hasła i klucze aplikacji | Mogły wyciec | Zmienione |
Zgodność z terminem CISA | Zaległość od 19 stycznia 2026 roku (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: atak automatyzowalny, skutek techniczny częściowy |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.7 WYSOKA (CVSS 4.0) i 7.5 WYSOKA (CVSS 3.1), obie wg MongoDB |
PoC dostępny publicznie? | Publicznie dostępne są analizy techniczne mechanizmu („MongoBleed”) oraz skrypty do wykrywania, podlinkowane w NVD |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Ponad 83% (sierpień 2026 roku), powyżej 99% wszystkich skatalogowanych podatności (wg analizy źródłowej) |
Fałszywe trafienia skanerów | Jeden z dystrybutorów Linuksa przypisał lukę omyłkowo czterem innym pakietom i wycofał to przypisanie (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-14847
CVSS 4.0 (MongoDB) 8.7/10 █████████████████░░░ WYSOKA
CVSS 3.1 (MongoDB) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) >83% █████████████████░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2025-12-15 Założenie zgłoszenia SERVER-115508 u producenta
2025-12-19 Publikacja CVE-2025-14847 w NVD
2025-12-29 CISA dodaje lukę do katalogu KEV; opis „MongoBleed”
na liście oss-security
2026-01-19 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08 EPSS powyżej 83%
... prawie 8 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Zgłoszenie producenta z wersjami i obejściem: jira.mongodb.org/browse/SERVER-115508 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-14847 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać programistę lub dostawcę hostingu, czy nasze aplikacje używają MongoDB i w jakiej wersji | CTO | DZISIAJ |
2 | Uzyskać odpowiedź, czy baza przyjmuje połączenia z internetu, czy tylko z serwera aplikacji | CTO | DZISIAJ |
3 | Zatwierdzić wyłączenie kompresji zlib do czasu aktualizacji | CTO | DZISIAJ |
4 | Zatwierdzić termin aktualizacji w ramach posiadanej linii | CTO | DO JUTRA |
5 | Zlecić zmianę haseł i kluczy dostępu aplikacji do bazy, jeśli była widoczna z internetu | CTO | DO JUTRA |
6 | Zarezerwować budżet na migrację, jeśli baza działa na gałęzi 4.2, 4.0 lub 3.6 | CFO | DO JUTRA |
7 | Sprawdzić, czy umowa z dostawcą usługi bazy danych określa czas instalacji krytycznych poprawek | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Które nasze aplikacje korzystają z MongoDB? | [lista] | 🔴 |
2 | Jaka jest wersja każdego serwera MongoDB? | [wersja] | 🔴 |
3 | Czy port bazy danych jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Czy kompresja zlib jest włączona na serwerach bez poprawki? | TAK / NIE | 🔴 |
5 | Kiedy serwery zostały zaktualizowane do wersji z poprawką? | [data] | 🟠 |
6 | Czy zmieniliśmy hasła i klucze dostępu aplikacji do bazy? | TAK / NIE, [data] | 🟠 |
7 | Czy któraś baza działa na gałęzi bez wsparcia (4.2, 4.0, 3.6) i jaki jest plan migracji? | TAK / NIE, [termin] | 🟡 |
CVE-2025-14847 („MongoBleed”) pozwala bez logowania wyciągać z serwera MongoDB fragmenty pamięci, w których mogą być dane klientów, hasła i klucze. CISA potwierdza ataki, a sklep czy aplikacja działa przy tym bez zakłóceń, dlatego aktualizacja lub wyłączenie kompresji zlib i odcięcie portu bazy od internetu to zadania na dziś, a zmiana haseł aplikacji i plan migracji starych gałęzi na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.