MongoDB-Schwachstelle ermöglicht Datenabfluss

Durch Ausnutzung der Schwachstelle können Angreifende beliebigen Code mit hoher Berechtigung ausführen. Eine Authentifizierung ist hierfür nicht nötig. Zu den Daten, die Angreifende auslesen können, gehören Datenbank-Passwörter, Sitzungs-Token, personenbezogene Daten, Konfigurationsdaten und andere sensible Informationen. Ein Proof of Concept (PoC) ist veröffentlicht, was die Wahrscheinlichkeit für einen Angriff erhöht.

Von dieser Sicherheitslücke berichten der Hersteller, das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Landesamt für Verfassungsschutz Baden-Württemberg (LfV BW). Die Lücke hat die Kennung CVE-2025-14847 (EUVD-2025-204529) und einen CVSS-Base-Score von 8.7/10.

Betroffen sind folgende Versionen des Produkts:

• MongoDB 8.2.0 bis 8.2.2
• MongoDB 8.0.0 bis 8.0.16
• MongoDB 7.0.0 bis 7.0.27
• MongoDB 6.0.0 bis 6.0.26
• MongoDB 5.0.0 bis 5.0.31
• MongoDB 4.4.0 bis 4.4.29
• Alle MongoDB Server v4.2 Versionen
• Alle MongoDB Server v4.0 Versionen
• Alle MongoDB Server v3.6 Versionen

Für eine Ausnutzung muss die zlib-Kompression aktiviert sein, was standardmäßig der Fall ist. Laut Hersteller wurde die Schwachstelle bereits ausgenutzt.

MongoDB ist ein NoSQL-Datenbank-Managementsystem. Das gleichnamige Unternehmen hat seinen Hauptsitz in New York City.

Datenbanken sind immer wieder Ziel von Cyber-Angriffen. Akteure können die dort gespeicherten Informationen ausschleusen und für weitere Zwecke missbrauchen. Deshalb sollten Sicherheitsmaßnahmen für Datenbanken stets sorgfältig geplant und umgesetzt werden.

Zahlreiche MongoDB-Instanzen werden wohl so betrieben werden, dass sie direkt aus dem Internet erreichbar sind, was ein erhebliches Sicherheitsrisiko ist. Weltweit werden knapp 86.000 verwundbare und exponierte MongoDB-Instanzen betrieben, davon mehr als 7.700 in Deutschland.

Das BSI rät deshalb grundsätzlich, MongoDB und andere Datenbankmanagementsysteme darauf zu prüfen, ob sie tatsächlich im Internet exponiert werden müssen.

• Aktualisieren Sie Ihre Systeme rasch auf einen sichereren Stand:
  • MongoDB 8.2.3
  • MongoDB 8.0.17
  • MongoDB 7.0.28
  • MongoDB 6.0.27
  • MongoDB 5.0.32
  • MongoDB 4.4.30
• Wenn Sie eine EoL-Version (End of Life) einsetzen, aktualisieren Sie zeitnah auf eine der genannten Versionen.
• Wenn Sie nicht aktualisieren können, beachten Sie folgende Workarounds:
  • Deaktivieren Sie vorübergehend die zlib-Kompression.
  • Erlauben Sie nur vertrauenswürdigen Quellen den Zugriff auf MongoDB.
• Prüfen Sie, ob Ihre Systeme betroffen sind. Beachten Sie hierfür die Hinweise des BSI.