【要点】
◎MongoDBに認証不要で機密情報が漏洩する脆弱性「MongoBleed」（CVE-2025-14847）が判明し、PoC公開により早急な更新対応が求められている。
【脆弱性内容】
| 公開日 |
登録日 |
CVE番号 |
NVD |
ベンダー |
CVSS v3 |
CWE |
脆弱性 |
KEV |
備考 |
|---|---|---|---|---|---|---|---|---|---|
| 2025/12/19 | 2025/12/17 | CVE-2025-14847 | NVD | MongoDB | 7.5(MongoDB) |
CWE-130 | レングスパラメーターの不整合による不適切な処理 | 2025/12/29 | MongoDB |
【要約】
NoSQLデータベースMongoDBに、zlib圧縮処理の不備により初期化されていないヒープメモリを読み取られる脆弱性「MongoBleed」（CVE-2025-14847）が確認された。認証不要で悪用可能なため、認証情報やAPIキー、トークン、データベース内データなどの重大な機密情報が遠隔から窃取される恐れがある。CVSSでは高評価とされ、Heartbleedを想起させる深刻度と指摘されている。MongoDBは修正版を公開しており、更新が困難な場合はzlib圧縮の無効化が推奨される。PoC公開後、8万台超の脆弱なインスタンスが観測されており、迅速な対策が必要とされている。
【ニュース】
◆「MongoDB」に脆弱性「MongoBleed」 - 「PoC」公開、早急に対応を (Security NEXT, 2025/12/29)
https://www.security-next.com/179181
