CVE-2025-14847 — 神龙十问 AI 深度分析摘要
CVSS 7.5 · High
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：MongoDB 在处理 Zlib 压缩协议时，**头部长度不匹配**。 💥 **后果**：导致**读取未初始化内存**，引发严重的**内存泄露**风险。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE**：**CWE-130**（错误处理中的长度处理问题）。 🔍 **缺陷点**：Zlib 压缩协议头的**长度校验逻辑**存在漏洞。
Q3影响谁？（版本/组件）
📦 **组件**：**MongoDB Server**。 📅 **受影响版本**： • v7.0 (<7.0.28) • v8.0 (<8.0.17) • v8.2 (<8.2.3) • v6.0 (<6.0.27) • v5.0 (<5.0.32) • v4.4 (<4.4.30) • v4.2 (>=4.2.0) • v4.0
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：利用**未初始化内存读取**。 📂 **数据风险**：可能**泄露敏感内存数据**，包括密钥或用户信息。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**低**。 🔑 **条件**：网络可访问 (**AV:N**)，无需认证 (**PR:N**)，无需用户交互 (**UI:N**)。
Q6有现成Exp吗？（PoC/在野利用）
💻 **现成Exp**：**有**。 🔗 多个 GitHub 仓库已发布 PoC/Exploit（如 onewinner, ProbiusOfficial 等），可直接用于检测或攻击。
Q7怎么自查？（特征/扫描）
🔍 **自查方法**： 1. 检查 MongoDB 版本是否在**受影响列表**中。 2. 使用提供的 GitHub PoC 工具进行**内存泄露检测**。 3. 监控异常内存读取日志。
Q8官方修了吗？（补丁/缓解）
🩹 **官方修复**：**已发布**。 📌 参考 Jira: **SERVER-115508**。 ✅ 升级至各分支的**最新补丁版本**即可修复。
Q9没补丁咋办？（临时规避）
🛡️ **临时规避**： 1. **限制网络访问**：仅允许可信 IP 连接 MongoDB。 2. **启用认证**：虽然漏洞无需认证，但增加认证层可提高攻击成本。 3. **监控内存**：密切监控服务器内存异常波动。
Q10急不急？（优先级建议）
⚡ **优先级**：**高**。 📉 **CVSS**：**7.5 (High)**。 💡 **建议**：立即升级版本，因 PoC 已公开且利用条件极低，风险极高。