Identifikovana je kritična ranjivost na nivou pretpolaganja autentičnosti koja može uzrokovati uskraćivanje usluge (DoS), pod oznakom CVE-2025-6709. Ova ranjivost pogađa više verzija MongoDB Servera, uključujući izdanja 6.0, 7.0 i 8.0.
Ukratko, CVE-2025-6709 omogućava neautentifikovanim napadačima da sruše servere, sa ocenom rizika CVSS od 7.5. Zlonamjerni JSON paketi sa posebno formiranim vrijednostima datuma, poslati putem MongoDB shella, iskorištavaju nedostatke u OIDC autentifikaciji. Pogođene verzije su MongoDB Server v6.0 (prije 6.0.21), v7.0 (prije 7.0.17) i v8.0 (prije 8.0.5). Preporučuje se hitno ažuriranje na zakrpane verzije ili privremeno onemogućavanje OIDC autentifikacije kao mjera ublažavanja.
Ova ranjivost proizlazi iz nepravilnog validiranja unosa u mehanizmu autentifikacije servera putem OpenID Connect (OIDC). To omogućava napadačima da sruše instance baza podataka bez potrebe za akreditivima za autentifikaciju. S obzirom na CVSS ocjenu 7.5, ova greška visokog stepena ozbiljnosti predstavlja značajan rizik za organizacije koje koriste ranjive verzije MongoDB u produkcijskim okruženjima.
Ranjivost, klasifikovana pod oznakom CWE-20 (Nepravilno Validiranje Unosa), koristi neadekvatno rukovanje specifičnim vrijednostima datuma unutar JSON paketa tokom procesa OIDC autentifikacije. Napadači mogu iskoristiti MongoDB shell (mongo) za slanje posebno kreiranih zlonamjernih JSON podataka koji pokreću stanje kršenja invarijanti, što na kraju dovodi do potpunog pada servera. Mehanizam napada zaobilazi tradicionalne zahtjeve za autentifikaciju, čineći ga posebno opasnim jer omogućava daljinskim, neautentifikovanim napadačima da naruše rad baza podataka.
Tehnički uzrok leži u nedovoljnom čišćenju i validiranju ulaznih podataka u formatu datuma unutar OIDC pipeline-a za autentifikaciju. Kada MongoDB server obradi ove netačno formatirane vrijednosti datuma, logika parsiranja nailazi na neočekivane podatkovne strukture koje krše interne pretpostavke, uzrokujući neočekivano gašenje procesa servera. Ovo predstavlja klasičnu ranjivost validiranja unosa gdje nedovoljno provjeravanje granica i validacija tipova podataka stvaraju uslove koji se mogu eksploatisati.
Faktori rizika uključuju pogođene proizvode kao što su MongoDB Server v6.0 (prije 6.0.21), v7.0 (prije 7.0.17) i v8.0 (prije 8.0.5). Posljedica je uskraćivanje usluge (DoS). Preduslovi za eksploataciju su: nije potrebna autentifikacija (pret-auth), mrežni pristup MongoDB serveru i mogućnost slanja JSON paketa putem mongo shella. CVSS 3.1 ocjena je 7.5 (Visoka).
Ova ranjivost utiče na tri glavne grane MongoDB Servera sa različitim nivoima ozbiljnosti. Verzije MongoDB Servera v7.0 prije 7.0.17 i v8.0 prije 8.0.5 su podložne eksploataciji prije autentifikacije, dozvoljavajući potpuno neautentifikovanim napadačima da daljinski pokrenu uslove uskraćivanja usluge. MongoDB Server v6.0 verzije prije 6.0.21 također sadrže ranjivost, iako eksploatacija zahtijeva uspješnu autentifikaciju, smanjujući neposrednu površinu prijetnje, ali i dalje predstavljajući rizike od strane autentifikovanih korisnika.
Organizacije koje koriste ove ranjive verzije suočavaju se s potencijalnim prekidima usluga, posebno u okruženjima visoke dostupnosti gdje zastoj baze podataka direktno utiče na poslovne operacije. Vektori mrežnih napada (AV:N) u kombinaciji sa niskom složenošću napada (AC:L) čine ovu ranjivost posebno zabrinjavajućom za MongoDB implementacije koje su izložene internetu ili su dostupne putem kompromitovanih mrežnih segmenata.
Prema savjetu, sigurnosni timovi bi trebali dati prioritet hitnom zakrpavanju na najnovije stabilne verzije: MongoDB Server 6.0.21, 7.0.17, ili 8.0.5, zavisno od njihove trenutne verzije implementacije. Organizacije koje ne mogu odmah primijeniti zakrpe trebaju razmotriti implementaciju mrežnih kontrola pristupa, privremeno onemogućavanje OIDC autentifikacije ako nije ključno za operacije, ili korištenje web aplikacijskih firewallova koji mogu filtrirati zlonamjerne JSON pakete.
Pre-autentifikacijska priroda ove ranjivosti čini je privlačnom metom za aktere prijetnji koji žele narušiti usluge baza podataka bez sofisticiranih tehnika napada. Administratori baza podataka bi trebali pratiti neuobičajene obrasce povezivanja, implementirati sveobuhvatno logiranje pokušaja OIDC autentifikacije i uspostaviti procedure za reagovanje na incidente radi brze obnove usluga nakon potencijalnih pokušaja eksploatacije.
