Identifikovana je kritična ranjivost u MongoDB serveru koja omogućava uskraćivanje usluge (DoS) prije autentifikacije, a označena je kao CVE-2025-6709. Ova ranjivost pogađa više verzija MongoDB servera, uključujući izdanja 6.0, 7.0 i 8.0.
Ukratko, MongoDB s ranjivosti CVE-2025-6709 omogućava neautentifikovanim napadačima da izazovu pad servera, s ocjenom rizika CVSS 7.5. Zlonamjerni JSON paketi sa posebno oblikovanim vrijednostima datuma, poslati putem MongoDB shella, iskorištavaju nedostatke u OIDC autentifikaciji. Pogođene su verzije MongoDB Servera v6.0 (prije 6.0.21), v7.0 (prije 7.0.17) i v8.0 (prije 8.0.5). Preporučuje se hitno ažuriranje na zakrpljene verzije ili privremeno onemogućavanje OIDC autentifikacije kao privremena mjera.
Ova ranjivost nastaje zbog nepravilne validacije ulaznih podataka u mehanizmu autentifikacije servera putem OpenID Connect (OIDC). To omogućava napadačima da sruše instance baza podataka bez potrebe za posjedovanjem akreditiva za autentifikaciju. Sa CVSS ocjenom od 7.5, ova greška visokog nivoa predstavlja značajne rizike za organizacije koje koriste ranjive MongoDB okoline u produkciji.
Ranjivost, kategorizovana kao CWE-20 (Nepravilna validacija ulaznih podataka), iskorištava neadekvatno rukovanje specifičnim vrijednostima datuma unutar JSON paketa tokom procesa OIDC autentifikacije. Napadači mogu iskoristiti MongoDB shell (mongo) za slanje posebno kreiranih zlonamjernih JSON podataka, što dovodi do kršenja unutrašnjih uslova i konačno do potpunog pada servera. Mehanizam napada zaobilazi tradicionalne zahtjeve za autentifikacijom, čineći ga posebno opasnim jer omogućava daljinskim, neautentifikovanim napadačima da ometaju operacije baze podataka.
Tehnički uzrok leži u nedovoljnom čišćenju i validaciji ulaznih podataka formatiranih kao datum unutar OIDC pipelinea za autentifikaciju. Kada MongoDB server obrađuje ove neispravno oblikovane vrijednosti datuma, parsiranje nailazi na neočekivane strukture podataka koje krše interne pretpostavke, uzrokujući neočekivano gašenje procesa servera. Ovo predstavlja klasičnu ranjivost validacije ulaznih podataka, gdje nedovoljno provjere granica i validacije tipova podataka stvaraju uslove za iskorištavanje.
Faktori rizika uključuju pogođene proizvode: MongoDB Server v6.0 (prije 6.0.21), MongoDB Server v7.0 (prije 7.0.17) i MongoDB Server v8.0 (prije 8.0.5). Posljedica je uskraćivanje usluge (DoS). Preduslovi za iskorištavanje uključuju odsustvo potrebe za autentifikacijom (prije-auth), mrežni pristup MongoDB serveru i mogućnost slanja JSON paketa putem mongo shella. CVSS 3.1 ocjena je 7.5 (Visoka).
Ova ranjivost utiče na tri glavne grane izdanja MongoDB Servera s različitim nivoima ozbiljnosti. Verzije MongoDB Servera v7.0 prije 7.0.17 i v8.0 prije 8.0.5 podložne su eksploataciji prije autentifikacije, omogućavajući potpuno neautentifikovanim napadačima da daljinski pokrenu uslove za uskraćivanje usluge. Verzije MongoDB Servera v6.0 prije 6.0.21 također sadrže ranjivost, iako eksploatacija zahtijeva uspješnu autentifikaciju, čime se smanjuje neposredna površina prijetnje, ali i dalje predstavlja rizik od strane autentifikovanih korisnika.
Organizacije koje koriste ove ranjive verzije suočavaju se s potencijalnim prekidima usluge, posebno u okruženjima visoke dostupnosti gdje zastoji baze podataka direktno utiču na poslovne operacije. Vektor napada zasnovan na mreži (AV:N) u kombinaciji s niskom složenošću napada (AC:L) čini ovu ranjivost posebno zabrinjavajućom za MongoDB instalacije izložene internetu ili one dostupne putem kompromitovanih mrežnih segmenata.
Kao mjere ublažavanja, sigurnosni timovi bi trebali dati prioritet hitnom ažuriranju na najnovije stabilne verzije: MongoDB Server 6.0.21, 7.0.17 ili 8.0.5, ovisno o trenutnoj verziji njihove implementacije. Organizacije koje nisu u mogućnosti izvršiti trenutne zakrpe trebaju razmotriti implementaciju mrežnih kontrola pristupa, privremeno onemogućavanje OIDC autentifikacije ako nije ključno za operacije, ili postavljanje web aplikacijskih firewall-ova sposobnih za filtriranje zlonamjernih JSON paketa.
Priroda ove ranjivosti koja omogućava napad prije autentifikacije čini je atraktivnom metom za prijetnje koje žele ometati usluge baza podataka bez sofisticiranih tehnika napada. Administratori baza podataka bi trebali pratiti neuobičajene obrasce povezivanja, implementirati sveobuhvatno logovanje oko pokušaja OIDC autentifikacije i uspostaviti procedure za odgovor na incidente radi brze obnove usluge nakon potencijalnih pokušaja eksploatacije.
