Kritična ranjivost uslovljavanja odbijanja usluge prije autentifikacije identifikovana je kao CVE-2025-6709, a pogađa više verzija MongoDB Servera u svojim izdanjima 6.0, 7.0 i 8.0.
**Sažetak**
1. MongoDB CVE-2025-6709 omogućava neautentifikovanim napadačima da obore servere (CVSS 7.5).
2. Zlonamjerni JSON paketi sa kreiranim vrijednostima datuma poslati putem MongoDB shell-a eksploatišu OIDC ranjivosti u autentifikaciji.
3. Verzije MongoDB Servera v6.0 (prije 6.0.21), v7.0 (prije 7.0.17) i v8.0 (prije 8.0.5) su pogođene.
4. Odmah ažurirajte na zakrpljene verzije ili privremeno onemogućite OIDC autentifikaciju kao privremenu mjeru ublažavanja.
Ranjivost proizilazi iz nepravilne validacije unosa u mehanizmu autentifikacije OpenID Connect (OIDC) servera, što omogućava napadačima da obore instance baza podataka bez potrebe za akreditivima za autentifikaciju.
Sa CVSS rezultatom od 7.5, ova mana visokog stepena ozbiljnosti predstavlja značajne rizike za organizacije koje pokreću ugrožene MongoDB instalacije u produkcijskim okruženjima.
**Ranjivost Odbijanja Usluge MongoDB Servera**
Ranjivost, kategorizovana pod CWE-20 (Nepravilna Validacija Unosa), eksploatiše nepravilno rukovanje specifičnim vrijednostima datuma unutar JSON paketa tokom procesa OIDC autentifikacije.
Napadaci mogu iskoristiti MongoDB shell (mongo) za slanje posebno kreiranih zlonamjernih JSON podataka koji pokreću stanje neusaglašenosti invarijanti, što na kraju dovodi do potpunog obaranja servera.
Mehanizam napada zaobilazi tradicionalne zahtjeve za autentifikaciju, čineći ga posebno opasnim jer omogućava daljinskim, neautentifikovanim napadačima da poremete operacije baze podataka.
Tehnički osnovni uzrok uključuje neadekvatno sanitizovanje i validaciju ulaznih podataka formatiranih kao datum unutar OIDC pipeline-a za autentifikaciju.
Kada MongoDB server obrađuje ove pogrešno formatirane vrijednosti datuma, logika parsiranja nailazi na neočekivane strukture podataka koje krše interne pretpostavke, uzrokujući neočekivano prekidanje rada procesa servera.
Ovo predstavlja klasičnu ranjivost validacije unosa gdje nedovoljna provjera granica i validacija tipa podataka stvaraju uslove koji se mogu eksploatisati.
| Faktori Rizika | Detalji |
| :———————– | :———————————————————————————————————- |
| Pogođeni Proizvodi | – MongoDB Server v6.0 (prije 6.0.21)
– MongoDB Server v7.0 (prije 7.0.17)
– MongoDB Server v8.0 (prije 8.0.5) |
| Uticaj | Odbijanje Usluge (DoS) |
| Preduslovi za Eksploataciju | Nije potrebna autentifikacija (prije autentifikacije)
Mrežni pristup MongoDB serveru
Mogućnost slanja JSON paketa putem mongo shell-a |
| CVSS 3.1 Rezultat | 7.5 (Visok) |
Ranjivost utiče na tri glavne grane izdanja MongoDB Servera sa različitim nivoima ozbiljnosti.
MongoDB Server v7.0 verzije prije 7.0.17 i v8.0 verzije prije 8.0.5 podložni su eksploataciji prije autentifikacije, omogućavajući potpuno neautentifikovanim napadačima da daljinski pokrenu uslove odbijanja usluge.
MongoDB Server v6.0 verzije prije 6.0.21 također sadrže ranjivost, iako eksploatacija zahtijeva uspješnu autentifikaciju, smanjujući trenutni obim prijetnje, ali i dalje predstavljajući rizike od ovlaštenih korisnika.
Organizacije koje koriste ove ugrožene verzije suočavaju se s potencijalnim prekidima usluge, posebno u okruženjima visoke dostupnosti gdje prekid rada baze podataka direktno utiče na poslovne operacije.
Mrežni vektor napada (AV:N) u kombinaciji sa niskom složenošću napada (AC:L) čini ovu ranjivost posebno zabrinjavajućom za MongoDB instalacije izložene internetu ili one kojima se pristupa putem kompromitovanih mrežnih segmenata.
**Mjere Ublažavanja**
Prema savjetu, sigurnosni timovi bi trebali dati prioritet hitnom zakrpljivanju na najnovija stabilna izdanja: MongoDB Server 6.0.21, 7.0.17 ili 8.0.5, ovisno o njihovoj trenutnoj verziji instalacije.
Organizacije koje nisu u mogućnosti primijeniti hitne zakrpe trebaju razmotriti implementaciju kontrole pristupa na mrežnom nivou, privremeno onemogućavanje OIDC autentifikacije ako nije ključna za poslovanje, ili korištenje web aplikacijskih firewall-ova sposobnih za filtriranje zlonamjernih JSON paketa.
Priroda ove ranjivosti prije autentifikacije čini je atraktivnom metom za pretnje aktere koji žele da poremete usluge baze podataka bez sofisticiranih napadačkih tehnika.
Administratore baza podataka treba da nadgledaju neobične obrasce povezivanja, implementiraju sveobuhvatno logovanje oko pokušaja OIDC autentifikacije i uspostave procedure za odgovor na incidente za brzu obnovu usluga nakon potencijalnih pokušaja eksploatacije.
