Identifikovana je kritična ranjivost pre-autentikacije koja dovodi do uskraćivanja usluge (DoS), označena kao CVE-2025-6709, a pogađa više verzija MongoDB servera u granama izdanja 6.0, 7.0 i 8.0.
Ova ranjivost omogućava neautentifikovanim napadačima da obore servere, sa CVSS rezultatom 7.5. Zlonamjerni JSON paketi sa neispravno formiranim vrijednostima datuma, poslati putem MongoDB shell-a, iskorištavaju nedostatke u OIDC autentifikaciji. Pogođene su verzije MongoDB Servera v6.0 (prije 6.0.21), v7.0 (prije 7.0.17) i v8.0 (prije 8.0.5). Preporučuje se hitno ažuriranje na zakrpljene verzije ili privremeno onemogućavanje OIDC autentifikacije kao ublažavajuća mjera.
Ranjivost proizlazi iz nepravilne validacije ulaznih podataka u serverskom mehanizmu za autentifikaciju putem OpenID Connect (OIDC). Ovo omogućava napadačima da sruše instance baza podataka bez potrebnih akreditacija. Sa CVSS rezultatom od 7.5, ovaj nedostatak visokog stepena ozbiljnosti predstavlja značajne rizike za organizacije koje koriste ugrožene MongoDB instalacije u produkcijskim okruženjima.
Ranjivost, klasifikovana pod CWE-20 (Nepravilna validacija ulaznih podataka), iskorištava neadekvatno rukovanje specifičnim vrijednostima datuma unutar JSON paketa tokom OIDC procesa autentifikacije. Napadači mogu iskoristiti MongoDB shell (mongo) za slanje posebno kreiranih zlonamjernih JSON podataka koji pokreću stanje kršenja invarijanti, što na kraju dovodi do potpunog pada servera. Ovaj mehanizam napada zaobilazi tradicionalne zahtjeve autentifikacije, čineći ga posebno opasnim jer omogućava neautentifikovanim daljinskim napadačima da ometaju rad baza podataka.
Tehnički uzrok leži u nedovoljnom čišćenju i validaciji ulaznih podataka u formatu datuma unutar OIDC pipeline-a. Kada MongoDB server obrađuje ove neispravno formatirane vrijednosti datuma, logika parsiranja nailazi na neočekivane strukture podataka koje krše unutrašnje pretpostavke, uzrokujući neočekivano gašenje serverskog procesa. Ovo predstavlja klasičnu ranjivost validacije ulaznih podataka gdje nedovoljno provjeravanje granica i validacija tipova podataka stvara uslove za iskorištavanje.
Faktori rizika uključuju pogođene proizvode kao što su MongoDB Server v6.0 (prije 6.0.21), MongoDB Server v7.0 (prije 7.0.17) i MongoDB Server v8.0 (prije 8.0.5). Uticaj je uskraćivanje usluge (DoS). Preduslovi za eksploataciju su da nije potrebna autentifikacija (pre-auth), postoji mrežni pristup MongoDB serveru i mogućnost slanja JSON paketa putem mongo shell-a. CVSS 3.1 rezultat je 7.5 (Visoko).
Ranjivost utiče na tri glavne grane izdanja MongoDB servera sa različitim nivoima ozbiljnosti. Verzije MongoDB Servera v7.0 prije 7.0.17 i v8.0 prije 8.0.5 podložne su eksploataciji prije autentifikacije, dozvoljavajući potpuno neautentifikovanim napadačima da daljinski izazovu uskraćivanje usluge. Verzije MongoDB Servera v6.0 prije 6.0.21 također sadrže ranjivost, iako eksploatacija zahtijeva uspješnu autentifikaciju, smanjujući neposrednu površinu prijetnje, ali i dalje predstavljajući rizike od autentifikovanih korisnika.
Organizacije koje koriste ove ugrožene verzije suočavaju se s potencijalnim prekidima usluga, posebno u okruženjima visoke dostupnosti gdje zastoji baza podataka direktno utiču na poslovne operacije. Vektori napada putem mreže (AV:N) u kombinaciji s niskom složenošću napada (AC:L) čine ovu ranjivost posebno zabrinjavajućom za MongoDB implementacije izložene internetu ili one dostupne putem kompromitovanih mrežnih segmenata.
Sigurnosni timovi trebaju dati prioritet hitnom zakrpljivanju na najnovija stabilna izdanja: MongoDB Server 6.0.21, 7.0.17 ili 8.0.5, ovisno o njihovoj trenutnoj verziji implementacije. Organizacije koje nisu u mogućnosti primijeniti hitne zakrpe trebaju razmotriti implementaciju mrežnih kontrola pristupa, privremeno onemogućavanje OIDC autentifikacije ako nije ključna za operacije, ili postavljanje vatrozida za web aplikacije sposobnih za filtriranje zlonamjernih JSON paketa.
Priroda ove ranjivosti prije autentifikacije čini je atraktivnom metom za prijetnje koje nastoje poremetiti serverske baze podataka bez sofisticiranih napadačkih tehnika. Administratori baza podataka bi trebali nadzirati neuobičajene obrasce povezivanja, implementirati sveobuhvatno logovanje oko pokušaja OIDC autentifikacije i uspostaviti procedure za odgovor na incidente za brzu obnovu usluge nakon potencijalnih pokušaja eksploatacije.