<p>根据美国网络安全和基础设施安全局的消息，一种高严重性 MongoDB 服务器漏洞在圣诞周期间出现了概念验证，目前正在被积极利用。</p>
<p>如果没有潜在的严重安全漏洞出现来打乱假期气氛，那就不是假期了，而这个漏洞绝对符合这个标准，有专家称其为 “基本上是 MongoDB 的 Heartbleed”。</p>
<p>是的，情况非常严重。</p>
<p>该漏洞被识别为 CVE-2025-14847，CVSS 评分为 8.7，广泛使用的开源 MongoDB 服务器中的这个漏洞源于 zlib 压缩协议头中的长度字段不匹配。如果利用恶意数据包进行攻击，未经身份验证的远程攻击者可以读取未初始化的堆内存。正如 OX Security 在圣诞前夕指出的，这意味着攻击者可能会暴露用户信息、密码、API 密钥等。</p>
<p>&#34;虽然攻击者可能需要发送大量请求才能收集完整的数据库，并且某些数据可能毫无意义，但攻击者拥有的时间越长，收集到的信息就越多，&#34;OX 表示。你知道的——就像他们在圣诞假期期间，威胁监控者忙着喝蛋奶酒时。</p>
<p>被 Elastic Security 研究员命名为 MongoBleed 的这个漏洞，实际上是在 12 月 15 日被识别出来，并在此后不久被 MongoDB 团队修补。它影响了广泛的 MongoDB 服务器版本，MongoDB 敦促受影响的用户立即升级到修复版本。</p>
<p>&#34;如果您无法立即升级，请在 MongoDB 服务器上禁用 zlib 压缩，&#34;MongoDB 制造商敦促道。</p>
<ul>
<li>Mongoose 库中的关键缺陷使 MongoDB 暴露于数据窃贼和代码执行的风险</li>
<li>MongoDB 通过贬低 PostgreSQL 来强调其人工智能能力</li>
<li>IT 世界发展迅速，为什么管理员升级如此缓慢？</li>
<li>MongoDB 反驳了其不适合业务关键工作负载的说法</li>
</ul>
<p>任何暴露在互联网的运行着易受攻击版本的 MongoDB 服务器都面临攻击风险，OX 指出，通过攻击者的横向移动可以接触到的私有服务器也容易被攻击，如果它们被发现的话。</p>
<p>该漏洞的具体情况源于 MongoDB 的网络传输层，OX 指出，在解压网络消息时，可以强制分配或处理不足大小的缓冲区。在修复该问题的补丁部署之前，MongoDB 使用的 zlib 消息压缩器被编码为返回输出长度，而不仅仅是解压数据的实际长度，这意味着它可能被欺骗为泄露分配内存中的任何内容，而不仅仅是解压数据的真实长度。哎呀。</p>
<p>&#34;这种类型的漏洞是恶意网络行为者常用的攻击向量，对联邦企业构成重大风险，&#34;CISA 在其周一的 MongoBleed 已知被利用漏洞目录中指出。</p>
<p>欢迎回来，无论您是按计划返回还是处理这个在假期期间被积极利用的漏洞，它在圣诞老人准备送礼物时出现在网络上。希望他使用不同的数据库提供商，或者他的系统已经修补。®</p>

<p>根据美国网络安全和基础设施安全局的报告，MongoDB Server 中一个高严重性漏洞（标识为 CVE-2025-14847）目前正处于积极利用之中。该漏洞被称为 “MongoBleed”，允许未经身份验证的远程攻击者读取未初始化的堆内存，可能暴露敏感用户信息。MongoDB 已敦促受影响的用户立即升级到修复版本或禁用 zlib 压缩。该漏洞影响多个 MongoDB Server 版本，尤其对暴露在互联网的服务器构成重大风险</p>

<p>A high-severity MongoDB Server vulnerability, for which proofs of concept emerged over Christmas week, is now under active exploitation, according to the US Cybersecurity and Infrastructure Security Agency.</p>
<div class="lb-trans"><p>根据美国网络安全和基础设施安全局的消息，一种高严重性 MongoDB 服务器漏洞在圣诞周期间出现了概念验证，目前正在被积极利用。</p>
</div><p>It wouldn't be the holiday break without a potentially devastating security vulnerability popping up to crash the PTO party, and this one definitely fits the bill, with one expert calling it &#34;basically Heartbleed for MongoDB.&#34;</p>
<div class="lb-trans"><p>如果没有潜在的严重安全漏洞出现来打乱假期气氛，那就不是假期了，而这个漏洞绝对符合这个标准，有专家称其为 “基本上是 MongoDB 的 Heartbleed”。</p>
</div><p>Yeah, it's that serious.</p>
<div class="lb-trans"><p>是的，情况非常严重。</p>
</div><p>Identified as CVE-2025-14847, this CVSS 8.7 vulnerability in the widely used open-source MongoDB Server stems from mismatched length fields in zlib-compressed protocol headers. If exploited with a malformed packet, an unauthenticated remote attacker can read uninitialized heap memory. As OX Security pointed out on Christmas Eve, that means an attacker could expose user info, passwords, API keys, and more.</p>
<div class="lb-trans"><p>该漏洞被识别为 CVE-2025-14847，CVSS 评分为 8.7，广泛使用的开源 MongoDB 服务器中的这个漏洞源于 zlib 压缩协议头中的长度字段不匹配。如果利用恶意数据包进行攻击，未经身份验证的远程攻击者可以读取未初始化的堆内存。正如 OX Security 在圣诞前夕指出的，这意味着攻击者可能会暴露用户信息、密码、API 密钥等。</p>
</div><p>&#34;Although the attacker might need to send a large amount of requests to gather the full database, and some data might be meaningless, the more time an attacker has the more information could be gathered,&#34; OX said. You know - time like they'd have over the Christmas holiday while the threat watchers are busy sucking down eggnog.</p>
<div class="lb-trans"><p>&#34;虽然攻击者可能需要发送大量请求才能收集完整的数据库，并且某些数据可能毫无意义，但攻击者拥有的时间越长，收集到的信息就越多，&#34;OX 表示。你知道的——就像他们在圣诞假期期间，威胁监控者忙着喝蛋奶酒时。</p>
</div><p>Dubbed MongoBleed by the Elastic Security researcher who published a proof of concept on December 26, the vulnerability was actually identified back on December 15 and patched by the MongoDB crew shortly thereafter. It affects a wide range of MongoDB Server versions, with MongoDB urging affected users to upgrade to fixed releases immediately.</p>
<div class="lb-trans"><p>被 Elastic Security 研究员命名为 MongoBleed 的这个漏洞，实际上是在 12 月 15 日被识别出来，并在此后不久被 MongoDB 团队修补。它影响了广泛的 MongoDB 服务器版本，MongoDB 敦促受影响的用户立即升级到修复版本。</p>
</div><p>&#34;If you cannot upgrade immediately, disable zlib compression on the MongoDB Server,&#34; the MongoDB maker urged.</p>
<div class="lb-trans"><p>&#34;如果您无法立即升级，请在 MongoDB 服务器上禁用 zlib 压缩，&#34;MongoDB 制造商敦促道。</p>
</div><ul>
<li>Critical flaws in Mongoose library expose MongoDB to data thieves, code execution</li>
<li>MongoDB talks up its AI chops by talking down PostgreSQL</li>
<li>The IT world moves fast, so why are admins slow to upgrade?</li>
<li>MongoDB rebuts claims it's not ready for business critical workloads</li>
</ul>
<div class="lb-trans"><ul>
<li>Mongoose 库中的关键缺陷使 MongoDB 暴露于数据窃贼和代码执行的风险</li>
<li>MongoDB 通过贬低 PostgreSQL 来强调其人工智能能力</li>
<li>IT 世界发展迅速，为什么管理员升级如此缓慢？</li>
<li>MongoDB 反驳了其不适合业务关键工作负载的说法</li>
</ul>
</div><p>Any internet-exposed MongoDB Server running a vulnerable version is open to attack, and OX noted that private servers reachable through lateral movement by attackers are also ripe for the plucking, should they be ferreted out.</p>
<div class="lb-trans"><p>任何暴露在互联网的运行着易受攻击版本的 MongoDB 服务器都面临攻击风险，OX 指出，通过攻击者的横向移动可以接触到的私有服务器也容易被攻击，如果它们被发现的话。</p>
</div><p>The specifics of the vulnerability stem from the network transport layer of MongoDB, which OX noted can be forced to allocate or process undersized buffers during decompression of network messages. The zlib message compressor used by MongoDB, prior to the patch deployed to fix the issue, was coded to return the output length instead of just the actual length of decompressed data, meaning it could be tricked into spilling whatever was in the allocated memory instead of just the real length of the decompressed data. Oops.</p>
<div class="lb-trans"><p>该漏洞的具体情况源于 MongoDB 的网络传输层，OX 指出，在解压网络消息时，可以强制分配或处理不足大小的缓冲区。在修复该问题的补丁部署之前，MongoDB 使用的 zlib 消息压缩器被编码为返回输出长度，而不仅仅是解压数据的实际长度，这意味着它可能被欺骗为泄露分配内存中的任何内容，而不仅仅是解压数据的真实长度。哎呀。</p>
</div><p>&#34;This type of vulnerability is a frequent attack vector for malicious cyber actors and poses significant risks to the federal enterprise,&#34; CISA noted in its Monday addition of MongoBleed to its known exploited vulnerabilities catalog.</p>
<div class="lb-trans"><p>&#34;这种类型的漏洞是恶意网络行为者常用的攻击向量，对联邦企业构成重大风险，&#34;CISA 在其周一的 MongoBleed 已知被利用漏洞目录中指出。</p>
</div><p>Welcome back from the holiday break, whether you returned as scheduled or to deal with this actively exploited vulnerability, which appeared on the web just as Santa was prepping to deliver gifts. Hopefully he uses a different database provider, or has his systems patched already. ®</p>
<div class="lb-trans"><p>欢迎回来，无论您是按计划返回还是处理这个在假期期间被积极利用的漏洞，它在圣诞老人准备送礼物时出现在网络上。希望他使用不同的数据库提供商，或者他的系统已经修补。®</p>
</div>

假期提前结束：'MongoDB 的心脏出血'漏洞现正被积极利用