Otkrivena je kritična ranjivost prije autentifikacije koja može dovesti do uskraćivanja usluge (DoS), označena kao CVE-2025-6709, a koja pogađa više verzija MongoDB Servera u izdanjima 6.0, 7.0 i 8.0.
Ova ranjivost omogućava neautentifikovanim napadačima da sruše servere, što je potvrđeno rejtingom CVSS 7.5. Zlonamjerni JSON paketi sa posebno oblikovanim vrijednostima datuma, poslati putem MongoDB shell-a, iskorištavaju nedostatke u OIDC autentifikaciji. Pogođene verzije uključuju MongoDB Server v6.0 (prije 6.0.21), v7.0 (prije 7.0.17) i v8.0 (prije 8.0.5). Hitno se preporučuje ažuriranje na zakrpane verzije ili privremeno onemogućavanje OIDC autentifikacije kao privremena mjera.
Ranjivost proizlazi iz nepravilnog validiranja unosa u serverovom mehanizmu autentifikacije OpenID Connect (OIDC), što omogućava napadačima da ugase instance baza podataka bez potrebe za vjerodajnicama za autentifikaciju. Sa CVSS rezultatom od 7.5, ova greška visokog nivoa predstavlja značajan rizik za organizacije koje koriste ugrožene MongoDB implementacije u produkcijskim okruženjima.
Ranjivost, kategorisana pod CWE-20 (Nepravilno validiranje unosa), iskorištava neadekvatno rukovanje specifičnim vrijednostima datuma unutar JSON paketa tokom OIDC procesa autentifikacije. Napadači mogu iskoristiti MongoDB shell (mongo) za slanje posebno oblikovanih zlonamjernih JSON podataka koji pokreću uvjet kršenja invarijanti, što na kraju dovodi do potpunog pada servera. Metodologija napada zaobilazi tradicionalne zahtjeve za autentifikacijom, čineći ga posebno opasnim jer omogućava udaljenim, neautentifikovanim napadačima da poremete operacije baze podataka. Tehnički uzrok leži u nedovoljnom čišćenju i validiranju ulaznih podataka formatiranih kao datumi unutar OIDC cjevovoda autentifikacije. Kada MongoDB server obradi ove neispravne vrijednosti datuma, logika parsiranja nailazi na neočekivane strukture podataka koje krše unutrašnje pretpostavke, uzrokujući neočekivano gašenje procesa servera. Ovo predstavlja klasičnu ranjivost validiranja unosa gdje nedovoljno granično provjeravanje i validacija tipova podataka stvaraju uvjete koji se mogu iskoristiti.
Faktori rizika i pogođeni proizvodi uključuju MongoDB Server v6.0 (prije 6.0.21), MongoDB Server v7.0 (prije 7.0.17) i MongoDB Server v8.0 (prije 8.0.5). Utjecaj je uskraćivanje usluge (DoS). Preduslovi za iskorištavanje uključuju nepostojanje potrebe za autentifikacijom (prije-auth), mrežni pristup MongoDB serveru i mogućnost slanja JSON paketa putem mongo shell-a. CVSS 3.1 rezultat je 7.5 (Visok).
Ranjivost pogađa tri glavne grane izdanja MongoDB Servera sa različitim nivoima ozbiljnosti. MongoDB Server v7.0 verzije prije 7.0.17 i v8.0 verzije prije 8.0.5 podložni su iskorištavanju prije autentifikacije, omogućavajući potpuno neautentifikovanim napadačima da daljinski pokrenu uvjete uskraćivanja usluge. MongoDB Server v6.0 verzije prije 6.0.21 također sadrže ranjivost, iako iskorištavanje zahtijeva uspješnu autentifikaciju, smanjujući trenutni površinu prijetnje, ali i dalje predstavljajući rizike od autentifikovanih korisnika. Organizacije koje koriste ove ugrožene verzije suočavaju se s potencijalnim prekidima usluga, posebno u okruženjima visoke dostupnosti gdje mirovanje baze podataka direktno utječe na poslovne operacije. Mrežni vektor napada (AV:N) u kombinaciji s niskom složenošću napada (AC:L) čini ovu ranjivost posebno zabrinjavajućom za MongoDB implementacije izložene internetu ili one dostupne putem kompromitovanih mrežnih segmenata.
U skladu sa savjetodavnom objavom, sigurnosni timovi bi trebali dati prioritet hitnom ažuriranju na najnovija stabilna izdanja: MongoDB Server 6.0.21, 7.0.17 ili 8.0.5, ovisno o njihovoj trenutnoj verziji implementacije. Organizacije koje nisu u mogućnosti odmah primijeniti zakrpe trebale bi razmotriti implementaciju mrežne kontrole pristupa, privremeno onemogućavanje OIDC autentifikacije ako nije ključno za poslovanje, ili implementaciju firewallova web aplikacija sposobnih za filtriranje zlonamjernih JSON paketa. Priroda ove ranjivosti prije autentifikacije čini je atraktivnom metom za prijetnje koje žele poremetiti usluge baza podataka bez sofisticiranih tehnika napada. Administratori baza podataka bi trebali pratiti neuobičajene obrasce povezivanja, implementirati sveobuhvatno logovanje oko pokušaja OIDC autentifikacije i uspostaviti procedure za odgovor na incidente radi brze obnove usluge nakon potencijalnih pokušaja iskorištavanja.
