「MongoDB」に脆弱性「MongoBleed」 - 「PoC」公開、早急に対応を

NoSQLデータベース「MongoDB」に情報漏洩の脆弱性が明らかとなった。重大な機密情報が外部より窃取されるおそれもあり、早急に対策を講じるよう呼びかけられている。

デフォルトで有効となっている「zlib」の実装に問題があり、初期化されていないサーバのヒープメモリを読み取ることができる脆弱性「CVE-2025-14847」が明らかとなったもの。

認証を必要とすることなく、「MongoDB Server」へアクセスできる場合に悪用することが可能。

悪用されると、認証情報やトークン、APIキー、シークレット、データベース内のデータなど、重要な情報をリモートから窃取されるおそれがある。

影響の甚大さなど、過去に判明した情報漏洩の脆弱性「Heartbleed」を想起させるとして、一部セキュリティ研究者からは「MongoBleed」とも呼ばれている。

共通脆弱性評価システム「CVSSv4.0」において、「CVE-2025-14847」のベーススコアは「8.7」、重要度は「高（High）」と評価されている。また「CVSSv3.1」においても「7.5」、「高（High）」とレーティングされている。

「MongoDB」の開発チームでは、現地時間2025年12月19日にリリースした「MongoDB 8.2.3」「同8.0.17」「同7.0.28」「同6.0.27」「同5.0.32」「同4.4.30」にて「CVE-2025-14847」を修正した。

これらバージョンへすぐに更新できない場合は、「MongoDB Server」において「zlib」による圧縮を無効化するなど緩和策の実施が呼びかけられている。

脆弱性の詳細や概念実証「PoC」も公開されており、悪用のリスクも上昇している。脆弱性データベースを提供するCensysは、　現地時間2025年12月27日の時点で脆弱な可能性がある8万7000件以上のインスタンスを観測していると報告。利用者に注意を呼びかけている。

（Security NEXT - 2025/12/29 ）ツイート