MongoDB Server の未認証ヒープメモリ漏えい（悪用確認済み）

High（CVSS 7.5）に分類されるMongoDB MongoDB Serverの脆弱性です。MongoDB のワイヤプロトコルで zlib 圧縮されたメッセージのヘッダに含まれる長さフィールドの不整合を扱い切れておらず、未認証のクライアントが初期化されていないヒープメモリの内容を読み出せる。MongoDB の課題管理（SERVER-115508）は、サーバの zlib 実装に対するクライアント側からの悪用によって認証なしに未初期化のヒープメモリが返り得ると説明し、直ちに修正版へ上げることを強く推奨している。影響と修正版の対応は、8.2 系が 8.2.2 まで対象で 8.2.3 で修正、8.0 系は 8.0.16 まで対象で 8.0.17、7.0 系は 7.0.26 まで対象で 7.0.28、6.0 系は 6.0.26 まで対象で 6.0.27、5.0 系は 5.0.31 まで対象で 5.0.32、4.4 系は 4.4.29 まで対象で 4.4.30 である。加えて 4.2 系・4.0 系・3.6 系は全バージョンが対象と明記され、修正版も提示されていないため、サポート対象の系列へ移行するしかない。CVSS は MongoDB（CNA、Secondary）が CVSS 4.0 で 8.7 High、CVSS 3.1 で 7.5 High（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）の二本を出しており、NVD 自身の Primary スコアは無い。いずれも影響は機密性のみで、完全性・可用性への影響は無いという評価である。CISA KEV には 2025-12-29 に収載され、是正期限は 2026-01-19、ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed である。 なお本サイトの掲載値は、機械点検（2026-08-17）で CVSS 4.0 の 8.7 から CVSS 3.1 の 7.5 へ切り替えた。指標の版が違うだけで評価が下がったわけではなく、どちらも High、影響は機密性のみという評価は変わっていない。

判定は版の確認で、mongod --version、あるいは接続して db.version() を実行し、系列別の修正版に達しているかを見る。系列ごとに修正版が違うので「7.0 系なら 7.0.28 以上」のように使っている系列と比較する必要があり、単純な大小比較で 8.0.17 と 8.2.3 を混同しないよう注意する。見落としやすいのは業務の主系ではなくアプリに付属して立っている MongoDB で、コンテナイメージに含めた mongod、認証も掛けず開発用に放置されたインスタンス、監視やログ集約のバックエンド、4.2 以前のまま止まっている古い系列が挙がる。マネージドのデータベースサービスを使っている場合は提供元の告知で対応状況を確認する。DocumentDB や Cosmos DB の MongoDB 互換 API は MongoDB Server そのものとは実装が異なるため、本 CVE の対象かどうかは各プロバイダの案内で判断し、自分で結論を出さないほうがよい。すぐ更新できない場合の緩和策は MongoDB 自身が示している。mongod / mongos の起動時に networkMessageCompressors、または設定ファイルの net.compression.compressors で zlib を明示的に外す（安全な値の例として snappy,zstd あるいは disabled が挙げられている）。この変更は再起動を伴い、zlib を前提にしているクライアント側の圧縮設定も直す必要がある。KEV 収載済みで是正期限 2026-01-19 は今日（2026-08-17）から見て超過しているため、未更新のインスタンスが残っているなら期限超過として扱う。加えて、漏えいするのがメモリ内容であるためログに痕跡が残りにくい。外部から到達できていた期間があるインスタンスは、認証情報や他クライアントのデータが露出した前提で、DB ユーザのパスワード・接続文字列・キーファイルの再発行を検討し、あわせて MongoDB のポートの開放範囲を見直す。完了条件は、全インスタンスが系列ごとの修正版以上（または zlib 無効化で暫定回避）になっていること、4.2 以前の系列の移行方針が決まっていること、資格情報の扱いの判断が済んでいることの三点である。

MongoDB MongoDB Server を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-14847）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/01/19 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。