米当局、「MongoDB」脆弱性の悪用に注意喚起

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、「MongoDB Server」の脆弱性が悪用されているとして注意を呼びかけている。

現地時間2025年12月29日、「Known Exploited Vulnerabilities Catalog（KEV）」に「MongoDB Server」の脆弱性「CVE-2025-14847」を追加したもの。同脆弱性は一部セキュリティ研究者から「MongoBleed」などとも呼ばれている。

同脆弱性は、「Zlib」で圧縮されたプロトコルヘッダの処理に起因。認証を必要とすることなくリモートから未初期化のヒープメモリを読み取られるおそれがある。

「MongoDB Server」にアクセスできるユーザーによって、認証情報やトークン、APIキー、シークレット、データベース内のデータなど、重要な情報が窃取されるおそれがある。

共通脆弱性評価システム「CVSSv4.0」におけるベーススコアは「8.7」、重要度は「高（High）」、「CVSSv3.1」では「7.5」、「高（High）」と評価されている。すでに脆弱性の詳細や概念実証（PoC）も公開されており、容易に悪用が可能な状況となっている。

同庁では、米国内の行政機関に対して指定期間内に対応するよう促すとともに、利用者に注意を呼びかけている。

（Security NEXT - 2026/01/05 ）ツイート