Se ha publicado una herramienta de explotación de prueba de concepto (PoC) denominada “mongobleed” para la vulnerabilidad CVE-2025-14847, una fuga de memoria crítica y no autenticada en el manejo de la descompresión zlib de MongoDB. Bautizada por su creador, Joe Desimone, como un método para extraer memoria sensible del servidor, la falla permite a los atacantes extraer datos no inicializados de forma remota sin credenciales, lo que podría exponer registros internos, estadísticas del sistema y más. 

Ha aparecido una prueba de concepto (PoC) de exploit llamada “mongobleed” para CVE-2025-14847, una vulnerabilidad crítica de fuga de memoria no autenticada en el manejo de descompresión zlib de MongoDB.

Denominada por su creador, Joe Desimone, como una forma de extraer memoria sensible del servidor, esta falla permite a los atacantes extraer remotamente datos no inicializados sin credenciales, exponiendo potencialmente registros internos, estadísticas del sistema y más.

La vulnerabilidad se origina en un defecto en el procesamiento de mensajes comprimidos de MongoDB. Los atacantes envían un mensaje especialmente diseñado que afirma un tamaño descomprimido “uncompressedSize” inflado. MongoDB asigna un búfer grande basado en esta afirmación, pero zlib solo descomprime los datos reales en el inicio del búfer.

Lo crucial es que el servidor trata todo el búfer como válido, lo que lleva al análisis BSON a interpretar la memoria no inicializada como nombres de campo hasta que encuentra bytes nulos. Al sondear diferentes desplazamientos, los atacantes pueden filtrar sistemáticamente fragmentos de memoria.

“Mongobleed escanea sistemáticamente regiones de memoria mediante la creación de documentos BSON malformados con campos de longitud variables”, explicó Desimone en el repositorio de GitHub. Cada sonda revela fragmentos como las configuraciones de MongoDB WiredTiger, las estadísticas de /proc/meminfo, las rutas de Docker, los UUID de conexión y las IP de los clientes.

Las versiones afectadas abarcan múltiples ramas:

La herramienta basada en Python es sencilla de implementar. El uso básico escanea los desplazamientos 20-8192: python3 mongobleed.py –host <target>. Los escaneos más profundos se extienden a 50.000 desplazamientos para fugas más ricas, volcando los datos a un archivo binario.

Un ejemplo de salida revela métricas del sistema como “MemAvailable: 8554792 kB” y estadísticas de red como “SyncookiesFailed EmbryonicRsts.”

Desimone incluyó una configuración de Docker Compose para probar instancias vulnerables, lo que subraya la facilidad de reproducción. Los datos filtrados en las demostraciones totalizaron más de 8.700 bytes en 42 fragmentos.

MongoDB parcheó el problema en los commits upstream, validando las longitudes descomprimidas antes del procesamiento del búfer. OX Security fue el primero en revelar la falla, advirtiendo sobre los riesgos de exfiltración en implementaciones en la nube y contenerizadas.

Las organizaciones que ejecuten instancias de MongoDB expuestas, algo común en aplicaciones web, análisis y pilas NoSQL, se enfrentan a una presión urgente para aplicar el parche. Desactiva el acceso no autenticado y supervisa los escaneos anómalos en el puerto 27017.

Desimone, conocido en X como @dez_, publicó el repositorio para acelerar la conciencia. A medida que proliferan las fugas de memoria como esta, resalta los errores de descompresión como un vector en aumento en la seguridad de las bases de datos.