Kritična ranjivost uslovljavanja odbijanja usluge prije autentifikacije identifikovana je pod oznakom CVE-2025-6709, a pogađa više verzija MongoDB Servera u njegovim razvojnim granama 6.0, 7.0 i 8.0.
Ukratko:
1. MongoDB CVE-2025-6709 omogućava neautentifikovanim napadačima da sruše servere (CVSS 7.5).
2. Zlonamjerni JSON korisni tereti sa konstruisanim vrijednostima datuma, poslati putem MongoDB shella, eksploatišu nedostatke OIDC autentifikacije.
3. Pogođene verzije su MongoDB Server v6.0 (prije 6.0.21), v7.0 (prije 7.0.17) i v8.0 (prije 8.0.5).
4. Odmah ažurirajte na zakrpljene verzije ili privremeno onemogućite OIDC autentifikaciju kao privremenu mjeru.
Ranjivost proizlazi iz nepravilnog validiranja unosa u mehanizmu autentifikacije OpenID Connect (OIDC) servera, što omogućava napadačima da ugase instance baza podataka bez potrebe za akreditivima za autentifikaciju.
Sa CVSS ocjenom 7.5, ovaj propust visokog stepena ozbiljnosti predstavlja značajan rizik za organizacije koje koriste ranjive MongoDB implementacije u produkcijskim okruženjima.
Ranjivost uslovljavanja odbijanja usluge u MongoDB
Ranjivost, kategorizovana pod CWE-20 (Nepravilno validiranje unosa), eksploatiše pogrešno rukovanje specifičnim vrijednostima datuma unutar JSON korisnih tereta tokom OIDC procesa autentifikacije.
Napadaci mogu iskoristiti MongoDB shell (mongo) za slanje posebno konstruisanih zlonamjernih JSON podataka koji pokreću stanje narušene nepromjenljivosti, što na kraju dovodi do potpunog rušenja servera.
Mehanizam napada zaobilazi tradicionalne zahtjeve za autentifikaciju, čineći ga posebno opasnim jer omogućava neautentifikovanim udaljenim napadačima da naruše operacije baze podataka.
Tehnički uzrok leži u neadekvatnom čišćenju i validiranju ulaznih podataka formatiranih kao datumi unutar OIDC pipeline-a za autentifikaciju.
Kada MongoDB server obradi ove pogrešno formatirane vrijednosti datuma, parsirna logika naiđe na neočekivane strukture podataka koje krše interne pretpostavke, uzrokujući neočekivano gašenje procesa servera.
Ovo predstavlja klasičnu ranjivost validiranja unosa gdje nedovoljna provjera granica i validacija tipa podataka stvaraju uslove za eksploataciju.
Faktori rizika:
* Pogođeni proizvodi: MongoDB Server v6.0 (prije 6.0.21), MongoDB Server v7.0 (prije 7.0.17), MongoDB Server v8.0 (prije 8.0.5).
* Uticaj: Odbijanje usluge (DoS).
* Preduslovi za eksploataciju: Nije potrebna autentifikacija (prije-auth), mrežni pristup MongoDB serveru, mogućnost slanja JSON korisnih tereta putem mongo shella.
* CVSS 3.1 Ocjena: 7.5 (Visoko).
Ranjivost pogađa tri glavne razvojne grane MongoDB Servera sa različitim nivoima ozbiljnosti.
MongoDB Server v7.0 verzije prije 7.0.17 i v8.0 verzije prije 8.0.5 podložne su eksploataciji prije autentifikacije, omogućavajući potpuno neautentifikovanim napadačima daljinsko pokretanje uslovljavanja odbijanja usluge.
MongoDB Server v6.0 verzije prije 6.0.21 također sadrže ranjivost, iako eksploatacija zahtijeva uspješnu autentifikaciju, čime se smanjuje neposredna površina prijetnje, ali i dalje predstavlja rizik od strane autentifikovanih korisnika.
Organizacije koje koriste ove ranjive verzije suočavaju se s potencijalnim prekidima usluga, posebno u okruženjima visoke dostupnosti gdje zastoji baza podataka direktno utiču na poslovne operacije.
Mrežni vektor napada (AV:N) u kombinaciji s niskom složenošću napada (AC:L) čini ovu ranjivost posebno zabrinjavajućom za MongoDB implementacije izložene internetu ili one dostupne kroz ugrožene mrežne segmente.
Mjere ublažavanja
Prema savjetu, bezbjednosni timovi bi trebali dati prioritet hitnom ažuriranju na najnovije stabilne verzije: MongoDB Server 6.0.21, 7.0.17 ili 8.0.5, u zavisnosti od njihove trenutne verzije implementacije.
Organizacije koje ne mogu odmah primijeniti zakrpe bi trebale razmotriti implementaciju mrežne kontrole pristupa, privremeno onemogućavanje OIDC autentifikacije ako nije ključno za operacije, ili postavljanje web aplikacionih firewallova sposobnih za filtriranje zlonamjernih JSON korisnih tereta.
Priroda ove ranjivosti prije autentifikacije čini je atraktivnom metom za prijetnje koje nastoje narušiti usluge baza podataka bez sofisticiranih napadačkih tehnika.
Administratore baza podataka trebaju pratiti neuobičajene obrasce povezivanja, implementirati sveobuhvatno evidentiranje pokušaja OIDC autentifikacije i uspostaviti procedure za odgovor na incidente radi brze obnove usluga nakon potencijalnih pokušaja eksploatacije.
