CVE-2025-13644

چکیده

آسیب‌پذیری در MongoDB Server به دلیل خطای منطقی در پردازش عملیات حذف گروهی (Batched Delete) است. در این حالت، سرور به‌اشتباه و صرفاً بر اساس بزرگ بودن اندازه یک سند، آن را به‌عنوان چند سند در یک دسته در نظر می‌گیرد. این خطای منطقی می‌تواند منجر به نقض شرط پایدار (Invariant Failure)، توقف ناگهانی پردازش و در نهایت انکار سرویس (DoS) شود.

توضیحات

آسیب‌پذیری CVE-2025-13644 در MongoDB Server ناشی از خطای منطقی در پردازش عملیات حذف گروهی (Batched Delete) مطابق با CWE-617 است. در عملیات حذف گروهی، MongoDB برای بهینه‌سازی عملکرد، چندین سند را در یک دسته (batch) گروه‌بندی می‌کند. با این حال، در شرایط خاص، هنگامی که یک سند تنها دارای یک _idبسیار بزرگ (مانند رشته‌ای به طول حدود 16 مگابایت) باشد، اندازه کل سند به‌علاوه فضای ساختاری BSON (BSON structural overhead) شامل padding و المنت‌های داخلی اضافی، از حد مجاز BSONObjMaxUserSize فراتر می‌رود.

در این سناریو، سرور به اشتباه وارد شاخه‌ای از کد می‌شود که فرض می‌کند چندین سند در یک دسته وجود دارد، در حالی که تنها یک سند پردازش شده است. این وضعیت منجر به نقض شرط پایدار (Invariant Failure) در فایل batched_delete_stage.cpp می‌شود؛ به‌طور خاص، شرطی مانند *bufferOffset > 0 نقض شده و باعث وقوع Invariant Failure، ثبت لاگ خطای fatal و کرش فرآیند می‌گردد.

این ضعف با ایجاد و درج یک سند دارای_id بسیار بزرگ مانند “X”.repeat(16776704)}) و سپس اجرای دستور remove({}) یا عملیات حذف مشابه، قابل بازتولید است. بهره‌برداری از این آسیب‌پذیری نیازمند دسترسی معتبر به پایگاه داده با حداقل مجوز حذف اسناد است تا مهاجم بتواند سند بزرگ را درج کرده و سپس عملیات حذف را انجام دهد.

نتیجه این آسیب‌پذیری کرش، توقف ناگهانی پردازش و در نهایت انکار سرویس (DoS) است. MongoDB این ضعف را با اصلاح منطق شرطی در کد batched_delete_stage در نسخه‌های جدید به‌طور کامل پچ کرده است.

CVSS

 لیست محصولات آسیب پذیر

لیست محصولات بروز شده

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که MongoDB را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

نتیجه گیری

این آسیب‌پذیری با شدت متوسط می‌تواند منجر به کرش سرور و انکار سرویس (DoS) در عملیات حذف گروهی شود، اما بهره‌برداری از آن نیازمند دسترسی معتبر به پایگاه داده و مجوز حذف اسناد است. با توجه به انتشار پچ رسمی توسط MongoDB، اجرای اقدامات زیر برای کاهش ریسک و جلوگیری از سوءاستفاده ضروری است:

• به‌روزرسانی فوری: تمامی نمونه‌های MongoDB Server را به نسخه‌های 0.13، 7.0.26 یا 8.1.2 به روزرسانی کنید. این اقدام مؤثرترین و قطعی‌ترین راهکار برای رفع آسیب‌پذیری است و باید در اولویت قرار گیرد. سایر اقدامات نقش مکمل را دارند و می‌توانند به کاهش ریسک این آسیب پذیری و مقابله با حملات مشابه کمک کنند.
• محدودسازی مجوزها: اصل حداقل دسترسی را اعمال کنید. کاربران و نقش‌هایی که مجوز حذف (delete/remove) ندارند، نباید بتوانند عملیات حذف دسته‌ای را اجرا کنند. همچنین توصیه می ‌شود کاربران عادی را محدود به نقش‌های read-only نمایید.
• مانیتورینگ و ثبت لاگ: لاگ‌های MongoDB را به‌طور مداوم نظارت کنید تا وقوع Invariant Failure و کرش‌های مرتبط به سرعت شناسایی شوند. از ابزارهای مانیتورینگ داخلی مانند MongoDB Ops Manager یا راهکارهای خارجی مانند SIEM برای شناسایی الگوهای مشکوک استفاده کنید.
• محدودسازی اندازه اسناد: در صورت امکان، با استفاده از قوانین اعتبارسنجی (validation rules) در schema یا محدودیت‌های سمت اپلیکیشن، از ایجاد اسناد با _id یا فیلدهای بسیار بزرگ جلوگیری کنید تا احتمال وقوع مشکل کاهش یابد.
• محدودسازی دسترسی شبکه: دسترسی به MongoDB را تنها از طریق شبکه‌های داخلی یا با استفاده از VPN، VPC یا فایروال محدود کنید تا اتصال مستقیم از اینترنت عمومی امکان‌پذیر نباشد.

اجرای سریع به‌روزرسانی همراه با محدودسازی مجوزها، ریسک ناشی از این آسیب‌پذیری را به حداقل رسانده و پایداری سرویس‌های مبتنی بر MongoDB را تضمین می‌کند.

امکان استفاده در تاکتیک های Mitre Attack (در زمان اجرای حمله)

Initial Access (TA0001)
در یک سناریوی کلی، مهاجم می‌تواند از راه دور و از طریق شبکه، با ارسال درخواست‌های حذف دسته‌ای (batched delete) به سرور پایگاه‌داده MongoDB که نسخه‌های آسیب‌پذیر را اجرا می‌کند، خود را در قالب یک کلاینت یا سرویس مجاز جا زده و از همان رابط معمول پایگاه‌داده به سامانه هدف نزدیک شود، به شرط آنکه پورت سرویس روی سگمنت‌های کم‌اعتماد یا اینترنت در دسترس باشد، کنترل‌های دسترسی شبکه‌ای مانند فایروال و ACL به‌درستی اعمال نشده باشند، احراز هویت قوی یا جداسازی محیط‌های عملیاتی برای دیتابیس پیاده‌سازی نشده باشد و امکان ارسال درخواست‌های حجیم یا غیرمعمول حذف بر روی مجموعه داده‌ها بدون محدودیت خاص برای مهاجم وجود داشته باشد.

Defense Evasion (TA0005)
در زمان اجرای حمله، یک مهاجم می‌تواند درخواست‌های حذف دسته‌ای را به نحوی شکل دهد که در ظاهر با الگوهای معمول کاری پایگاه‌داده و عملیات نگه‌داری یا پاک‌سازی داده‌ها شباهت داشته باشند و در عین حال، به دلیل همان اشتباه در فرض تعداد اسناد در batch، سرور را به سمت invariant failure و پیامدهای ناخواسته سوق دهند؛ در چنین شرایطی، اگر سامانه‌های مانیتورینگ و SIEM عمدتاً بر رویدادهای کلاسیک امنیتی مانند تلاش‌های ورود ناموفق یا الگوهای متداول تزریق تمرکز کرده باشند و برای تحلیل رفتاری روی عملیات منطقی پایگاه‌داده و تشخیص درخواست‌های غیرعادی delete طراحی نشده باشند، اگر لاگ‌های خطا در سطح دیتابیس به‌طور کامل و متمرکز تجمیع و تحلیل نشوند و همچنین آستانه‌های هوشمند برای تشخیص افزایش غیرطبیعی خطاهای invariant در طول زمان تعریف نشده باشد، مهاجم می‌تواند تا حد زیادی فعالیت خود را پشت پرده عملیات معمول دیتابیس پنهان و از دید بسیاری از کنترل‌های دفاعی دور نگه دارد.

Availability Impact / Impact (TA0040)
پیامد اصلی این آسیب‌پذیری از منظر تاکتیک Impact در MITRE ATT&CK، تمرکز بر اختلال در دسترس‌پذیری و ثبات سرویس پایگاه‌داده است، زیرا بروز invariant failure در حین عملیات حذف دسته‌ای می‌تواند منجر به کرش پردازه، توقف سرویس، نیاز به راه‌اندازی مجدد، یا حتی بروز شرایطی شود که برخی داده‌ها در وضعیت نامشخص باقی بمانند و پردازش تراکنش‌ها در لایه‌های بالاتر مختل گردد؛ در یک محیط عملیاتی که برنامه‌های حیاتی سازمان به کارکرد پایدار MongoDB متکی هستند، تکرار این شرایط می‌تواند به توقف زنجیره‌ای سرویس‌ها، شکست تراکنش‌های تجاری، از دست رفتن بخشی از داده‌ها در صورت نبود سازوکارهای مناسب پشتیبان‌گیری و بازیابی و در نهایت، کاهش جدی سطح اعتماد به سلامت داده و سرویس منجر شود، به‌خصوص اگر نسخه‌های آسیب‌پذیر برای مدت طولانی بدون وصله نگه داشته شده، کنترل‌های سخت‌گیرانه روی الگوی عملیات حذف پیاده نشده و فرآیندهای پاسخ‌گویی به حادثه برای بررسی سریع علت خطاهای مکرر دیتابیس طراحی نشده باشند.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-13644
2. https://www.cvedetails.com/cve/CVE-2025-13644/
3. https://jira.mongodb.org/browse/SERVER-101180
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-13644
5. https://vuldb.com/?id.333434
6. https://nvd.nist.gov/vuln/detail/CVE-2025-13644
7. https://cwe.mitre.org/data/definitions/617.html