Identifikovana je kritična ranjivost prije autentifikacije koja omogućava uskraćivanje usluge, označena kao CVE-2025-6709. Ova ranjivost pogađa više verzija MongoDB servera u razvojnim granama 6.0, 7.0 i 8.0.
MongoDB, poznat po svojoj fleksibilnosti u upravljanju bazama podataka, suočava se sa značajnim sigurnosnim izazovom koji bi neupućenim napadačima mogao omogućiti obaranje serverskih instanci bez potrebe za akreditivima. Sa rejtingom složenosti napada od 7.5, ova ozbiljna mana predstavlja znatne rizike za organizacije koje koriste ranjive verzije MongoDB-a u produkcijskim okruženjima.
Ova ranjivost se temelji na neadekvatnoj provjeri unosa u mehanizmu za autentifikaciju OpenID Connect (OIDC) servera. To napadačima omogućava da sruše instance baza podataka bez posjedovanja akreditiva za pristup. Napadači mogu iskoristiti MongoDB ljusku (mongo) kako bi poslali posebno kreirane, maliciozne JSON podatke. Ovi podaci, koji sadrže neispravne vrijednosti datuma, izazivaju grešku u unutrašnjem stanju servera, što na kraju dovodi do potpunog obaranja servera. Mehanizam napada zaobilazi tradicionalne zahtjeve za autentifikacijom, što ga čini izuzetno opasnim jer omogućava neautentifikovanim udaljenim napadačima da ometaju operacije baza podataka.
Tehnički uzrok leži u nedovoljnoj validaciji i sanitizaciji ulaznih podataka u formatu datuma unutar OIDC procesa autentifikacije. Kada MongoDB server obradi ove neispravno formatirane vrijednosti datuma, logika parsiranja nailazi na neočekivane strukture podataka koje narušavaju interne pretpostavke, uzrokujući neočekivano gašenje procesa servera. Ovo je klasičan primjer ranjivosti provjere unosa, gdje nedostaci u provjeri granica i tipova podataka stvaraju uslove koji se mogu iskoristiti.
Ugroženi proizvodi obuhvataju MongoDB Server verzije 6.0 (prije 6.0.21), MongoDB Server verzije 7.0 (prije 7.0.17) i MongoDB Server verzije 8.0 (prije 8.0.5). Uticaj ranjivosti je uskraćivanje usluge (DoS), a napad ne zahtijeva nikakvu autentifikaciju (pre-auth), samo mrežni pristup MongoDB serveru i mogućnost slanja JSON podataka putem mongo ljuske. CVSS 3.1 rejting je 7.5, što je okarakterisano kao “Visoko”.
MongoDB Server verzije 7.0 prije 7.0.17 i verzije 8.0 prije 8.0.5 su podložne eksploataciji prije autentifikacije, što omogućava potpuno neautentifikovanim napadačima da daljinski izazovu uskraćivanje usluge. MongoDB Server verzija 6.0 prije 6.0.21 također sadrži ranjivost, ali njena eksploatacija zahtijeva uspješnu autentifikaciju, čime se smanjuje neposredna opasnost, iako i dalje predstavlja rizik od strane autentifikovanih korisnika. Organizacije koje koriste ove ranjive verzije suočavaju se sa potencijalnim prekidima usluga, posebno u okruženjima visoke dostupnosti gdje zastoji baza podataka direktno utiču na poslovne operacije. Mrežni vektor napada (AV:N) u kombinaciji sa niskom složenošću napada (AC:L) čini ovu ranjivost posebno zabrinjavajućom za MongoDB implementacije izložene internetu ili one dostupne putem kompromitovanih mrežnih segmenata.
U skladu sa zvaničnim savjetom, sigurnosni timovi bi trebali prioritetno izvršiti hitna ažuriranja na najnovije stabilne verzije: MongoDB Server 6.0.21, 7.0.17 ili 8.0.5, zavisno od trenutne verzije implementacije. Organizacije koje nisu u mogućnosti odmah primijeniti zakrpe trebaju razmotriti implementaciju kontrole pristupa na mrežnom nivou, privremeno onemogućavanje OIDC autentifikacije ako nije ključno za operacije, ili postavljanje firewall-ova za web aplikacije koji mogu filtrirati maliciozne JSON podatke. Priroda ove ranjivosti, koja omogućava napad prije autentifikacije, čini je privlačnom metom za prijetnje koje žele da ometaju usluge baza podataka bez potrebe za sofisticiranim tehnikama napada. Administratori baza podataka trebaju pratiti neuobičajene obrasce povezivanja, implementirati sveobuhvatno logovanje pokušaja OIDC autentifikacije i uspostaviti procedure za odgovor na incidente radi brze obnove usluga nakon potencijalnih pokušaja eksploatacije.
