Identifikovana je kritična ranjivost u vidu uskraćivanja usluge prije autentifikacije, označena kao CVE-2025-6709, koja pogađa više verzija MongoDB Servera u okviru njegovih izdanja 6.0, 7.0 i 8.0.
**Sažetak**
1. MongoDB CVE-2025-6709 omogućava neautentikovanim napadačima da obore servere (CVSS 7.5).
2. Zlonamjerni JSON pejloudovi sa izrađenim vrijednostima datuma poslati putem MongoDB shell-a iskorištavaju OIDC ranjivosti u autentifikaciji.
3. Pogođeni su MongoDB Server v6.0 (prije 6.0.21), v7.0 (prije 7.0.17) i v8.0 (prije 8.0.5).
4. Odmah ažurirajte na zakrpane verzije ili privremeno onemogućite OIDC autentifikaciju kao mjeru ublažavanja.
Ranjivost proizlazi iz nepravilne validacije ulaznih podataka u serverskom mehanizmu OpenID Connect (OIDC) autentifikacije, što omogućava napadačima da obore instance baza podataka bez potrebe za akreditivima za autentifikaciju.
Ovaj nedostatak, sa CVSS rezultatom 7.5, predstavlja značajan rizik za organizacije koje koriste ranjive MongoDB implementacije u produkcijskim okruženjima.
**Ranjivost uskraćivanja usluge u MongoDB-u**
Ranjivost, kategorizovana pod CWE-20 (Nepravilna validacija ulaznih podataka), iskorištava neadekvatno rukovanje specifičnim vrijednostima datuma unutar JSON pejloudova tokom OIDC procesa autentifikacije.
Napadači mogu koristiti MongoDB shell (mongo) za slanje posebno izrađenih zlonamjernih JSON podataka koji izazivaju kršenje invariantnih uslova, što na kraju dovodi do potpunog obaranja servera.
Mehanizam napada zaobilazi tradicionalne zahtjeve za autentifikaciju, čineći ga posebno opasnim jer omogućava neautentikovanim daljinskim napadačima da ometaju operacije baze podataka.
Tehnički uzrok leži u nedovoljnom čišćenju i validaciji ulaznih podataka formatiranih kao datumi unutar OIDC pipeline-a za autentifikaciju.
Kada MongoDB server obrađuje ove neispravno formatirane vrijednosti datuma, parsirajuća logika nailazi na neočekivane strukture podataka koje krše interne pretpostavke, uzrokujući neočekivano gašenje serverskog procesa.
Ovo predstavlja klasičnu ranjivost validacije ulaznih podataka, gdje nedovoljna provjera granica i validacija tipa podataka stvaraju uslove koji se mogu iskoristiti.
| Faktori rizika | Detalji |
| :——————– | :——————————————————————————————————————- |
| Pogođeni proizvodi | – MongoDB Server v6.0 (prije 6.0.21)
– MongoDB Server v7.0 (prije 7.0.17)
– MongoDB Server v8.0 (prije 8.0.5) |
| Uticaj | Uskraćivanje usluge (DoS) |
| Preduslovi za eksploataciju | Nije potrebna autentifikacija (prije autentifikacije)
Mrežni pristup MongoDB serveru
Mogućnost slanja JSON pejloudova putem mongo shell-a |
| CVSS 3.1 Rezultat | 7.5 (Visok) |
Ranjivost pogađa tri glavne grane izdanja MongoDB Servera sa različitim nivoima ozbiljnosti.
Verzije MongoDB Servera v7.0 prije 7.0.17 i v8.0 prije 8.0.5 podložne su eksploataciji prije autentifikacije, dozvoljavajući potpuno neautentikovanim napadačima da daljinski izazovu uslove uskraćivanja usluge.
MongoDB Server v6.0 verzije prije 6.0.21 također sadrže ranjivost, iako eksploatacija zahtijeva uspješnu autentifikaciju, smanjujući neposrednu površinu prijetnje, ali i dalje predstavljajući rizik od strane autentikovanih korisnika.
Organizacije koje koriste ove ranjive verzije suočavaju se s potencijalnim prekidima usluga, posebno u okruženjima visoke dostupnosti gdje zastoji baza podataka direktno utiču na poslovne operacije.
Mrežni vektor napada (AV:N) u kombinaciji sa niskom složenošću napada (AC:L) čini ovu ranjivost posebno zabrinjavajućom za MongoDB implementacije izložene internetu ili one dostupne putem kompromitovanih mrežnih segmenata.
**Mjere ublažavanja**
Prema savjetu, bezbjednosni timovi bi trebali dati prioritet hitnom ažuriranju na najnovija stabilna izdanja: MongoDB Server 6.0.21, 7.0.17 ili 8.0.5, u zavisnosti od njihove trenutne verzije implementacije.
Organizacije koje nisu u mogućnosti da primijene hitna ažuriranja trebale bi razmotriti implementaciju mrežnih kontrola pristupa, privremeno onemogućavanje OIDC autentifikacije ako nije ključna za operacije, ili postavljanje vatrozida za web aplikacije sposobnih za filtriranje zlonamjernih JSON pejloudova.
Priroda ove ranjivosti prije autentifikacije čini je atraktivnom metom za prijetnje, tražeći da ometaju usluge baza podataka bez sofisticiranih tehnika napada.
Administratore baza podataka bi trebali nadzirati neobične obrasce povezivanja, implementirati sveobuhvatno logovanje oko pokušaja OIDC autentifikacije i uspostaviti procedure odgovora na incidente za brzu obnovu usluge nakon potencijalnih pokušaja eksploatacije.
