Otkrivena je kritična ranjivost prije autentifikacije koja omogućava uskraćivanje usluge, označena kao CVE-2025-6709, koja pogađa više verzija MongoDB Servera u njegovim linijama izdanja 6.0, 7.0 i 8.0.
Kao što je objavljeno, MongoDB CVE-2025-6709 omogućava neautentificiranim napadačima da obore servere, što je klasifikovano sa CVSS rezultatom 7.5. Zlonamjerni JSON paketi sa kreiranim datumskim vrijednostima, poslati putem MongoDB shell-a, iskorištavaju nedostatke u OIDC autentifikaciji. Ranljivi su MongoDB Server v6.0 (prije 6.0.21), v7.0 (prije 7.0.17) i v8.0 (prije 8.0.5). Savjetuje se hitno ažuriranje na zakrpljene verzije ili privremeno onemogućavanje OIDC autentifikacije kao privremena mjera ublažavanja.
Ova ranjivost potiče od nepravilne validacije ulaznih podataka u mehanizmu autentifikacije OpenID Connect (OIDC) servera, što omogućava napadačima da obore instance baza podataka bez potrebnih akreditiva za autentifikaciju. S obzirom na CVSS rezultat od 7.5, ova greška visokog rizika predstavlja značajne opasnosti za organizacije koje koriste ranjive MongoDB implementacije u produkcijskim okruženjima.
**MongoDB ranjivost uskraćivanja usluge**
Ranjivost, klasifikovana pod CWE-20 (Nepravilna validacija ulaznih podataka), iskorištava pogrešno rukovanje specifičnim datumskim vrijednostima unutar JSON paketa tokom OIDC procesa autentifikacije. Napadači mogu iskoristiti MongoDB shell (mongo) za slanje posebno kreiranih zlonamjernih JSON podataka koji pokreću invariantno stanje greške, što na kraju dovodi do potpunog obaranja servera. Mehanizam napada zaobilazi tradicionalne zahtjeve za autentifikaciju, čineći ga posebno opasnim jer omogućava daljinskim, neautentificiranim napadačima da poremete rad baza podataka. Tehnički uzrok leži u nedovoljnom čišćenju i validaciji ulaznih podataka u formatu datuma unutar OIDC pipeline-a za autentifikaciju. Kada MongoDB server obradi ove neispravne datumske vrijednosti, logika parsiranja nailazi na neočekivane strukture podataka koje krše interne pretpostavke, uzrokujući neočekivani prestanak rada procesa servera. Ovo predstavlja klasičnu ranjivost validacije ulaznih podataka gdje nedovoljno provjeravanje granica i validacija tipova podataka stvaraju stanja koja se mogu iskoristiti.
Faktori rizika ukazuju na to da su pogođeni proizvodi MongoDB Server v6.0 (prije 6.0.21), MongoDB Server v7.0 (prije 7.0.17) i MongoDB Server v8.0 (prije 8.0.5). Posljedica je uskraćivanje usluge (DoS). Preduslovi za eksploataciju uključuju nezahtijevanje autentifikacije (prije-auth), mrežni pristup MongoDB serveru i mogućnost slanja JSON paketa putem mongo shell-a. CVSS 3.1 rezultat je 7.5 (Visok).
Ranjivost utiče na tri glavne linije izdanja MongoDB Servera sa različitim nivoima ozbiljnosti. Verzije MongoDB Servera v7.0 prije 7.0.17 i v8.0 prije 8.0.5 podložne su eksploataciji prije autentifikacije, omogućavajući potpuno neautentificiranim napadačima da daljinski pokrenu stanja uskraćivanja usluge. MongoDB Server v6.0 verzije prije 6.0.21 također sadrže ranjivost, iako eksploatacija zahtijeva uspješnu autentifikaciju, smanjujući trenutni površinu prijetnje, ali i dalje predstavljajući rizike od autentificiranih korisnika. Organizacije koje koriste ove ranjive verzije suočavaju se sa potencijalnim prekidima usluga, posebno u okruženjima visoke dostupnosti gdje zastoji baza podataka direktno utiču na poslovne operacije. Vektora napada zasnovan na mreži (AV:N) u kombinaciji sa niskom složenošću napada (AC:L) čini ovu ranjivost posebno zabrinjavajućom za MongoDB implementacije izložene internetu ili one dostupne putem kompromitovanih mrežnih segmenata.
**Ublažavanje**
Prema savjetu, sigurnosni timovi bi trebali dati prioritet hitnom zakrpavanju na najnovija stabilna izdanja: MongoDB Server 6.0.21, 7.0.17 ili 8.0.5, zavisno od njihove trenutne verzije implementacije. Organizacije koje nisu u mogućnosti odmah primijeniti zakrpe trebale bi razmotriti implementaciju kontrole mrežnog pristupa, privremeno onemogućavanje OIDC autentifikacije ako nije ključno za operacije, ili primjenu firewall-ova za web aplikacije sposobnih za filtriranje zlonamjernih JSON paketa. Priroda ove ranjivosti prije autentifikacije čini je atraktivnom metom za prijetnje aktere koji žele da ometaju usluge baza podataka bez sofisticiranih tehnika napada. Administatori baza podataka bi trebali pratiti neuobičajene obrasce povezivanja, implementirati sveobuhvatno logovanje oko pokušaja OIDC autentifikacije i uspostaviti procedure za odgovor na incidente za brzu obnovu usluga nakon potencijalnih pokušaja eksploatacije.