MongoDB MongoDB and MongoDB Server の脆弱性（CVE-2025-14847）

何が起きた

データベースの MongoDB Server に、zlib で圧縮された通信のヘッダーにある長さの値が食い違っているときに、正しく扱えない弱点が見つかりました。ログイン不要で、ネットワーク経由で離れた場所から、サーバーのメモリ（ヒープ）に残っている、まだ片付けられていないデータを読み取られるおそれがあります。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

MongoDB Server を使っている組織が対象です。影響を受けるのは 8.2.3、8.0.17、7.0.28、6.0.27、5.0.32、4.4.30 より前の各系列と、4.2、4.0、3.6 のすべてのバージョンです。

何をすればいい

8.2.3、8.0.17、7.0.28、6.0.27、5.0.32、4.4.30 のうち、使っている系列の修正版以降に更新してください。4.2、4.0、3.6 は修正版の一覧に入っていません。すぐに更新できない場合は、networkMessageCompressors または net.compression.compressors の設定で zlib を外して、mongod や mongos を起動し直してください。公式の案内（MongoDB の SERVER-115508）を確認してください。

やることチェックリスト

• 使っている系列の修正版以降に更新する
• 8.0系は8.0.17以降に更新する
• 更新までは zlib を外した設定で起動する

用語メモ

zlib

データを小さく圧縮するための、広く使われている仕組みです。

ヒープ

プログラムが動きながら必要に応じて使う、メモリの領域の一つです。

ヘッダー

通信のデータの先頭に付く、長さや種類などを書いた部分です。