BDU:2025-16225

Опубликовано: 19 дек. 2025

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Средний

Описание

Уязвимость реализации протокола Zlib системы управления базами данных MongoDB связана с неправильной обработкой несоответствия параметра длины. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию

Вендор

MongoDB Inc.

ООО «Новые Облачные Технологии»

Наименование ПО

MongoDB

Mailion

Версия ПО

от 7.0 до 7.0.28 (MongoDB)

от 8.0 до 8.0.17 (MongoDB)

от 8.2 до 8.2.3 (MongoDB)

от 6.0 до 6.0.27 (MongoDB)

от 5.0 до 5.0.32 (MongoDB)

от 4.4 до 4.4.30 (MongoDB)

до 2.3.3 (Mailion)

Тип ПО

СУБД

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Высокий уровень опасности (оценка CVSS 4.0 составляет 8,7)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение возможности использования протокола Zlib;

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому программному обеспечению;

- ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;

- ограничение доступа к уязвимому программному обеспечению из внешних сетей (Интернет).

Использование рекомендаций производителя:

https://jira.mongodb.org/browse/SERVER-115508

Для ООО "Новые Облачные Технологии":

Обновление программного обеспечения до версии 2.3.3 или выше

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-14847
CVE

EPSS

Процентиль: 96%

0.2264

Средний

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2025-14847

CVSS3: 7.5

ubuntu

около 2 месяцев назад

Mismatched length fields in Zlib compressed protocol headers may allow a read of uninitialized heap memory by an unauthenticated client. This issue affects all MongoDB Server v7.0 prior to 7.0.28 versions, MongoDB Server v8.0 versions prior to 8.0.17, MongoDB Server v8.2 versions prior to 8.2.3, MongoDB Server v6.0 versions prior to 6.0.27, MongoDB Server v5.0 versions prior to 5.0.32, MongoDB Server v4.4 versions prior to 4.4.30, MongoDB Server v4.2 versions greater than or equal to 4.2.0, MongoDB Server v4.0 versions greater than or equal to 4.0.0, and MongoDB Server v3.6 versions greater than or equal to 3.6.0.

CVE-2025-14847

CVSS3: 7.5

nvd

около 2 месяцев назад

CVE-2025-14847

CVSS3: 7.5

debian

около 2 месяцев назад

Mismatched length fields in Zlib compressed protocol headers may allow ...

GHSA-4742-mr57-2r9j

CVSS3: 7.5

github

около 2 месяцев назад

EPSS

Процентиль: 96%

0.2264

Средний

7.5 High

CVSS3

7.8 High

CVSS2