Kritična ranjivost tipa “denial of service” prije autentifikacije identifikovana je pod oznakom CVE-2025-6709, a pogađa više verzija MongoDB Servera u okviru njegovih izdanja 6.0, 7.0 i 8.0.
Ukratko, CVE-2025-6709 omogućava neautentifikovanim napadačima da sruše servere, s rejtingom od 7.5 po CVSS skali. Zlonamjerni JSON paketi sa posebno kreiranim vrijednostima datuma, poslati putem MongoDB shella, iskorištavaju nedostatke u OIDC autentifikaciji. Pogođene su verzije MongoDB Servera v6.0 (prije 6.0.21), v7.0 (prije 7.0.17) i v8.0 (prije 8.0.5). Preporučuje se hitno ažuriranje na zakrpljene verzije ili privremeno onemogućavanje OIDC autentifikacije kao privremena mjera ublažavanja.
Ova ranjivost potiče od nepravilnog validiranja unosa u mehanizmu autentifikacije servera putem OpenID Connecta (OIDC), što napadačima omogućava da sruše instance baza podataka bez potrebnih vjerodajnica za autentifikaciju.
Sa CVSS rejtingom od 7.5, ovaj nedostatak visoke ozbiljnosti predstavlja značajan rizik za organizacije koje koriste ugrožene MongoDB instalacije u produkcijskim okruženjima.
Ranjivost, klasifikovana pod CWE-20 (Nepravilno validiranje unosa), iskorištava loše rukovanje specifičnim vrijednostima datuma unutar JSON paketa tokom OIDC procesa autentifikacije.
Napadači mogu iskoristiti MongoDB shell (mongo) za slanje posebno kreiranih, zlonamjernih JSON podataka koji izazivaju kršenje uslova invarijantnosti, što na kraju dovodi do potpunog rušenja servera.
Mehanizam napada zaobilazi tradicionalne zahtjeve za autentifikaciju, čineći ga posebno opasnim jer omogućava daljinskim napadačima bez potrebe za autentifikacijom da poremete rad baza podataka.
Tehnički uzrok leži u nedovoljnom čišćenju i validiranju unesenih podataka u formatu datuma unutar OIDC cjevovoda autentifikacije.
Kada MongoDB server obradi ove pogrešno formatirane vrijednosti datuma, parsirna logika nailazi na neočekivane strukture podataka koje krše interne pretpostavke, uzrokujući neočekivano okončanje rada server procesa.
Ovo predstavlja klasičnu ranjivost validiranja unosa gdje nedovoljno provjeravanje granica i validacija tipa podataka stvara uslove koji se mogu iskoristiti.
Faktori rizika uključuju: pogođene proizvode, a to su MongoDB Server v6.0 (prije 6.0.21), MongoDB Server v7.0 (prije 7.0.17) i MongoDB Server v8.0 (prije 8.0.5). Posljedica je uskraćivanje usluge (DoS). Preduslovi za iskorištavanje su: nije potrebna autentifikacija (pre-auth), mrežni pristup MongoDB serveru i mogućnost slanja JSON paketa putem mongo shella. CVSS 3.1 rejting je 7.5 (Visok).
Ova ranjivost pogađa tri glavne grane izdanja MongoDB Servera s različitim nivoima ozbiljnosti.
MongoDB Server v7.0 verzije prije 7.0.17 i v8.0 verzije prije 8.0.5 podložne su iskorištavanju prije autentifikacije, omogućavajući potpuno neautentifikovanim napadačima daljinsko izazivanje uslova uskraćivanja usluge.
MongoDB Server v6.0 verzije prije 6.0.21 također sadrže ranjivost, iako iskorištavanje zahtijeva uspješnu autentifikaciju, smanjujući neposrednu površinu prijetnje, ali i dalje predstavljajući rizike od autentifikovanih korisnika.
Organizacije koje koriste ove ugrožene verzije suočavaju se s potencijalnim prekidima usluga, posebno u okruženjima visoke dostupnosti gdje prekid rada baze podataka direktno utiče na poslovne operacije.
Mrežni vektor napada (AV:N) u kombinaciji s niskom složenošću napada (AC:L) čini ovu ranjivost posebno zabrinjavajućom za MongoDB implementacije izložene internetu ili one dostupne putem ugroženih mrežnih segmenata.
Prema savjetu, sigurnosni timovi bi trebali dati prioritet hitnom zakrpljavanju na najnovija stabilna izdanja: MongoDB Server 6.0.21, 7.0.17 ili 8.0.5, ovisno o njihovoj trenutnoj verziji implementacije.
Organizacije koje ne mogu odmah primijeniti zakrpe trebale bi razmotriti implementaciju kontrola pristupa na mrežnom nivou, privremeno onemogućavanje OIDC autentifikacije ako nije ključno za poslovanje, ili implementaciju firewall-ova za web aplikacije sposobnih za filtriranje zlonamjernih JSON paketa.
Priroda ove ranjivosti koja ne zahtijeva autentifikaciju čini je atraktivnom metom za aktere prijetnji koji žele poremetiti usluge baza podataka bez sofisticiranih tehnika napada.
Administratori baza podataka bi trebali pratiti neuobičajene obrasce povezivanja, implementirati sveobuhvatno logiranje pokušaja OIDC autentifikacije i uspostaviti procedure odgovora na incidente za brzu obnovu usluga nakon potencijalnih pokušaja iskorištavanja.