<p>根據美國網絡安全和基礎設施安全局的消息，一種高嚴重性 MongoDB 服務器漏洞在聖誕週期間出現了概念驗證，目前正在被積極利用。</p>
<p>如果沒有潛在的嚴重安全漏洞出現來打亂假期氣氛，那就不是假期了，而這個漏洞絕對符合這個標準，有專家稱其為 “基本上是 MongoDB 的 Heartbleed”。</p>
<p>是的，情況非常嚴重。</p>
<p>該漏洞被識別為 CVE-2025-14847，CVSS 評分為 8.7，廣泛使用的開源 MongoDB 服務器中的這個漏洞源於 zlib 壓縮協議頭中的長度字段不匹配。如果利用惡意數據包進行攻擊，未經身份驗證的遠程攻擊者可以讀取未初始化的堆內存。正如 OX Security 在聖誕前夕指出的，這意味着攻擊者可能會暴露用户信息、密碼、API 密鑰等。</p>
<p>&#34;雖然攻擊者可能需要發送大量請求才能收集完整的數據庫，並且某些數據可能毫無意義，但攻擊者擁有的時間越長，收集到的信息就越多，&#34;OX 表示。你知道的——就像他們在聖誕假期期間，威脅監控者忙着喝蛋奶酒時。</p>
<p>被 Elastic Security 研究員命名為 MongoBleed 的這個漏洞，實際上是在 12 月 15 日被識別出來，並在此後不久被 MongoDB 團隊修補。它影響了廣泛的 MongoDB 服務器版本，MongoDB 敦促受影響的用户立即升級到修復版本。</p>
<p>&#34;如果您無法立即升級，請在 MongoDB 服務器上禁用 zlib 壓縮，&#34;MongoDB 製造商敦促道。</p>
<ul>
<li>Mongoose 庫中的關鍵缺陷使 MongoDB 暴露於數據竊賊和代碼執行的風險</li>
<li>MongoDB 通過貶低 PostgreSQL 來強調其人工智能能力</li>
<li>IT 世界發展迅速，為什麼管理員升級如此緩慢？</li>
<li>MongoDB 反駁了其不適合業務關鍵工作負載的説法</li>
</ul>
<p>任何暴露在互聯網的運行着易受攻擊版本的 MongoDB 服務器都面臨攻擊風險，OX 指出，通過攻擊者的橫向移動可以接觸到的私有服務器也容易被攻擊，如果它們被發現的話。</p>
<p>該漏洞的具體情況源於 MongoDB 的網絡傳輸層，OX 指出，在解壓網絡消息時，可以強制分配或處理不足大小的緩衝區。在修復該問題的補丁部署之前，MongoDB 使用的 zlib 消息壓縮器被編碼為返回輸出長度，而不僅僅是解壓數據的實際長度，這意味着它可能被欺騙為泄露分配內存中的任何內容，而不僅僅是解壓數據的真實長度。哎呀。</p>
<p>&#34;這種類型的漏洞是惡意網絡行為者常用的攻擊向量，對聯邦企業構成重大風險，&#34;CISA 在其週一的 MongoBleed 已知被利用漏洞目錄中指出。</p>
<p>歡迎回來，無論您是按計劃返回還是處理這個在假期期間被積極利用的漏洞，它在聖誕老人準備送禮物時出現在網絡上。希望他使用不同的數據庫提供商，或者他的系統已經修補。®</p>

<p>根據美國網絡安全和基礎設施安全局的報告，MongoDB Server 中一個高嚴重性漏洞（標識為 CVE-2025-14847）目前正處於積極利用之中。該漏洞被稱為 “MongoBleed”，允許未經身份驗證的遠程攻擊者讀取未初始化的堆內存，可能暴露敏感用户信息。MongoDB 已敦促受影響的用户立即升級到修復版本或禁用 zlib 壓縮。該漏洞影響多個 MongoDB Server 版本，尤其對暴露在互聯網的服務器構成重大風險</p>

<p>A high-severity MongoDB Server vulnerability, for which proofs of concept emerged over Christmas week, is now under active exploitation, according to the US Cybersecurity and Infrastructure Security Agency.</p>
<div class="lb-trans"><p>根據美國網絡安全和基礎設施安全局的消息，一種高嚴重性 MongoDB 服務器漏洞在聖誕週期間出現了概念驗證，目前正在被積極利用。</p>
</div><p>It wouldn't be the holiday break without a potentially devastating security vulnerability popping up to crash the PTO party, and this one definitely fits the bill, with one expert calling it &#34;basically Heartbleed for MongoDB.&#34;</p>
<div class="lb-trans"><p>如果沒有潛在的嚴重安全漏洞出現來打亂假期氣氛，那就不是假期了，而這個漏洞絕對符合這個標準，有專家稱其為 “基本上是 MongoDB 的 Heartbleed”。</p>
</div><p>Yeah, it's that serious.</p>
<div class="lb-trans"><p>是的，情況非常嚴重。</p>
</div><p>Identified as CVE-2025-14847, this CVSS 8.7 vulnerability in the widely used open-source MongoDB Server stems from mismatched length fields in zlib-compressed protocol headers. If exploited with a malformed packet, an unauthenticated remote attacker can read uninitialized heap memory. As OX Security pointed out on Christmas Eve, that means an attacker could expose user info, passwords, API keys, and more.</p>
<div class="lb-trans"><p>該漏洞被識別為 CVE-2025-14847，CVSS 評分為 8.7，廣泛使用的開源 MongoDB 服務器中的這個漏洞源於 zlib 壓縮協議頭中的長度字段不匹配。如果利用惡意數據包進行攻擊，未經身份驗證的遠程攻擊者可以讀取未初始化的堆內存。正如 OX Security 在聖誕前夕指出的，這意味着攻擊者可能會暴露用户信息、密碼、API 密鑰等。</p>
</div><p>&#34;Although the attacker might need to send a large amount of requests to gather the full database, and some data might be meaningless, the more time an attacker has the more information could be gathered,&#34; OX said. You know - time like they'd have over the Christmas holiday while the threat watchers are busy sucking down eggnog.</p>
<div class="lb-trans"><p>&#34;雖然攻擊者可能需要發送大量請求才能收集完整的數據庫，並且某些數據可能毫無意義，但攻擊者擁有的時間越長，收集到的信息就越多，&#34;OX 表示。你知道的——就像他們在聖誕假期期間，威脅監控者忙着喝蛋奶酒時。</p>
</div><p>Dubbed MongoBleed by the Elastic Security researcher who published a proof of concept on December 26, the vulnerability was actually identified back on December 15 and patched by the MongoDB crew shortly thereafter. It affects a wide range of MongoDB Server versions, with MongoDB urging affected users to upgrade to fixed releases immediately.</p>
<div class="lb-trans"><p>被 Elastic Security 研究員命名為 MongoBleed 的這個漏洞，實際上是在 12 月 15 日被識別出來，並在此後不久被 MongoDB 團隊修補。它影響了廣泛的 MongoDB 服務器版本，MongoDB 敦促受影響的用户立即升級到修復版本。</p>
</div><p>&#34;If you cannot upgrade immediately, disable zlib compression on the MongoDB Server,&#34; the MongoDB maker urged.</p>
<div class="lb-trans"><p>&#34;如果您無法立即升級，請在 MongoDB 服務器上禁用 zlib 壓縮，&#34;MongoDB 製造商敦促道。</p>
</div><ul>
<li>Critical flaws in Mongoose library expose MongoDB to data thieves, code execution</li>
<li>MongoDB talks up its AI chops by talking down PostgreSQL</li>
<li>The IT world moves fast, so why are admins slow to upgrade?</li>
<li>MongoDB rebuts claims it's not ready for business critical workloads</li>
</ul>
<div class="lb-trans"><ul>
<li>Mongoose 庫中的關鍵缺陷使 MongoDB 暴露於數據竊賊和代碼執行的風險</li>
<li>MongoDB 通過貶低 PostgreSQL 來強調其人工智能能力</li>
<li>IT 世界發展迅速，為什麼管理員升級如此緩慢？</li>
<li>MongoDB 反駁了其不適合業務關鍵工作負載的説法</li>
</ul>
</div><p>Any internet-exposed MongoDB Server running a vulnerable version is open to attack, and OX noted that private servers reachable through lateral movement by attackers are also ripe for the plucking, should they be ferreted out.</p>
<div class="lb-trans"><p>任何暴露在互聯網的運行着易受攻擊版本的 MongoDB 服務器都面臨攻擊風險，OX 指出，通過攻擊者的橫向移動可以接觸到的私有服務器也容易被攻擊，如果它們被發現的話。</p>
</div><p>The specifics of the vulnerability stem from the network transport layer of MongoDB, which OX noted can be forced to allocate or process undersized buffers during decompression of network messages. The zlib message compressor used by MongoDB, prior to the patch deployed to fix the issue, was coded to return the output length instead of just the actual length of decompressed data, meaning it could be tricked into spilling whatever was in the allocated memory instead of just the real length of the decompressed data. Oops.</p>
<div class="lb-trans"><p>該漏洞的具體情況源於 MongoDB 的網絡傳輸層，OX 指出，在解壓網絡消息時，可以強制分配或處理不足大小的緩衝區。在修復該問題的補丁部署之前，MongoDB 使用的 zlib 消息壓縮器被編碼為返回輸出長度，而不僅僅是解壓數據的實際長度，這意味着它可能被欺騙為泄露分配內存中的任何內容，而不僅僅是解壓數據的真實長度。哎呀。</p>
</div><p>&#34;This type of vulnerability is a frequent attack vector for malicious cyber actors and poses significant risks to the federal enterprise,&#34; CISA noted in its Monday addition of MongoBleed to its known exploited vulnerabilities catalog.</p>
<div class="lb-trans"><p>&#34;這種類型的漏洞是惡意網絡行為者常用的攻擊向量，對聯邦企業構成重大風險，&#34;CISA 在其週一的 MongoBleed 已知被利用漏洞目錄中指出。</p>
</div><p>Welcome back from the holiday break, whether you returned as scheduled or to deal with this actively exploited vulnerability, which appeared on the web just as Santa was prepping to deliver gifts. Hopefully he uses a different database provider, or has his systems patched already. ®</p>
<div class="lb-trans"><p>歡迎回來，無論您是按計劃返回還是處理這個在假期期間被積極利用的漏洞，它在聖誕老人準備送禮物時出現在網絡上。希望他使用不同的數據庫提供商，或者他的系統已經修補。®</p>
</div>

假期提前結束：'MongoDB 的心臟出血'漏洞現正被積極利用