Otkrivena je kritična ranjivost prije autentifikacije koja omogućava uskraćivanje usluge (DoS), označena kao CVE-2025-6709, a pogađa više verzija MongoDB servera u izdanjima 6.0, 7.0 i 8.0.
Ova ranjivost, koja je dobila CVSS ocjenu 7.5, omogućava neautentifikovanim napadačima da izazovu pad servera. Zlonamjerni JSON paketi sa namjenski oblikovanim vrijednostima datuma, poslati putem MongoDB shella, iskorištavaju nedostatke u OIDC autentifikaciji. Pogođene su verzije MongoDB servera v6.0 (prije 6.0.21), v7.0 (prije 7.0.17) i v8.0 (prije 8.0.5). Preporučuje se hitno ažuriranje na zakrpljene verzije ili privremeno onemogućavanje OIDC autentifikacije kao mjere ublažavanja.
Ranjivost potiče od nepravilnog validiranja unosa u mehanizmu autentifikacije servera putem OpenID Connect (OIDC). Ovo omogućava napadačima da sruše instance baze podataka bez potrebe za akreditivima za autentifikaciju. Budući da ova mana visokog rizika sa CVSS ocjenom 7.5 predstavlja značajnu opasnost za organizacije koje koriste ranjive MongoDB implementacije u produkcijskim okruženjima.
Ova ranjivost, klasifikovana pod CWE-20 (Nepravilno validiranje unosa), iskorištava neregularno rukovanje specifičnim vrijednostima datuma unutar JSON paketa tokom procesa OIDC autentifikacije. Napadači mogu iskoristiti MongoDB shell (mongo) za slanje posebno oblikovanih zlonamjernih JSON podataka koji pokreću uslov kršenja invarijanti, što na kraju dovodi do potpunog rušenja servera. Mehanizam napada zaobilazi tradicionalne zahtjeve za autentifikaciju, što ga čini posebno opasnim jer omogućava daljinskim, neautentifikovanim napadačima da ometaju operacije baze podataka. Tehnički uzrok leži u neadekvatnom čišćenju i validiranju ulaznih podataka u formatu datuma unutar OIDC pipeline-a. Kada MongoDB server obrađuje ove neispravno formatirane vrijednosti datuma, logika parsiranja nailazi na neočekivane strukture podataka koje krše interne pretpostavke, uzrokujući neočekivano gašenje procesa servera. Ovo predstavlja klasičnu ranjivost validacije unosa gdje nedovoljno provjere granica i validacija tipa podataka stvara uslove za eksploataciju.
Faktori rizika obuhvataju pogođene proizvode kao što su MongoDB Server v6.0 (prije 6.0.21), MongoDB Server v7.0 (prije 7.0.17) i MongoDB Server v8.0 (prije 8.0.5). Uticaj je uskraćivanje usluge (DoS). Preduslovi za eksploataciju uključuju odsustvo potrebe za autentifikacijom (prije autentifikacije), mrežni pristup MongoDB serveru i mogućnost slanja JSON paketa putem mongo shell-a. CVSS 3.1 ocjena je 7.5 (Visoko).
Ranjivost utiče na tri glavne grane izdanja MongoDB servera sa različitim nivoima ozbiljnosti. Verzije MongoDB servera v7.0 prije 7.0.17 i v8.0 prije 8.0.5 podložne su eksploataciji prije autentifikacije, omogućavajući potpuno neautentifikovanim napadačima da daljinski pokrenu uslove uskraćivanja usluge. MongoDB Server v6.0 verzije prije 6.0.21 također sadrže ranjivost, iako eksploatacija zahtijeva uspješnu autentifikaciju, smanjujući neposrednu površinu prijetnje, ali i dalje predstavljajući rizike od autentifikovanih korisnika. Organizacije koje koriste ove ranjive verzije suočavaju se sa potencijalnim prekidima usluga, posebno u okruženjima visoke dostupnosti gdje zastoji baze podataka direktno utiču na poslovne operacije. Vektor mrežnog napada (AV:N) u kombinaciji sa niskom složenošću napada (AC:L) čini ovu ranjivost posebno zabrinjavajućom za MongoDB implementacije izložene internetu ili one dostupne kroz kompromitovane mrežne segmente.
Prema savjetodavnim informacijama, sigurnosni timovi bi trebali dati prioritet hitnom zakrpljivanju na najnovija stabilna izdanja: MongoDB Server 6.0.21, 7.0.17 ili 8.0.5, u zavisnosti od njihove trenutne verzije implementacije. Organizacije koje ne mogu primijeniti hitne zakrpe trebale bi razmotriti implementaciju kontrole pristupa na mrežnom nivou, privremeno onemogućavanje OIDC autentifikacije ako nije ključno za operacije, ili korištenje firewall-a web aplikacija sposobnih za filtriranje zlonamjernih JSON paketa. Priroda ove ranjivosti prije autentifikacije čini je atraktivnom metom za prijetnje aktere koji žele da ometaju usluge baza podataka bez sofisticiranih tehnika napada. Administratori baza podataka bi trebali pratiti neobične obrasce povezivanja, implementirati sveobuhvatno logovanje oko pokušaja OIDC autentifikacije i uspostaviti procedure za reagovanje na incidente radi brzog obnavljanja usluga nakon potencijalnih pokušaja eksploatacije.
