CVE-2025-6714

چکیده

آسیب‌پذیری در کامپوننت mongos سرور MongoDB به‌دلیل پردازش نادرست داده‌های ناقص رخ می‌دهد. در این حالت، مهاجم می‌تواند بدون نیاز به احراز هویت، با ارسال بسته‌های ناقص یا دستکاری شده از طریق لودبالانسرهایی مانند HAProxy، فرآیند mongos را وارد چرخه پردازش تکراری کرده و آن را از پذیرش هرگونه اتصال جدید بازدارد. این ضعف تنها زمانی قابل سوءاستفاده است که Sharded Cluster با قابلیت لودبالانسر روی پورت‌های مشخص‌شده برای mongos پیکربندی شده باشد.

توضیحات

آسیب‌پذیری CVE-2025-6714 ناشی از دو ضعف تکرار بیش‌ازحد (Excessive Iteration) مطابق با CWE-834 و مصرف غیرقابل کنترل منابع مطابق با CWE-400 است. در معماری کلاسترهای شارد شده (Sharded Clusters)، کامپوننت mongos نقش روتر را بر عهده دارد و درخواست‌های کلاینت را به Shardهای مربوطه هدایت می‌کند. زمانی که این ساختار با لودبالانسر (Load Balancer) به‌ویژه HAProxy روی پورت‌های مشخص پیکربندی شده باشد، mongos انتظار دریافت داده‌های کامل و معتبر را دارد. در این شرایط، مهاجم می‌تواند با ارسال بسته‌های ناقص TCP (پروتکل کنترل انتقال) یا پیام‌های پروتکل MongoDB ناتمام، mongos را وادار کند تا به‌طور مداوم منتظر تکمیل داده بماند (I/O wait یا read-loop). این عملکرد باعث می‌شود یک چرخه پردازشی بی‌پایان شکل بگیرد و Threadهای mongos یکی پس از دیگری در وضعیت انتظار مسدود شوند. در نهایت، تمام ظرفیت Thread Pool مصرف شده و mongos کاملاً از پذیرش اتصالات جدید باز می ماند که این موضوع به معنای انکار سرویس (DoS) کامل است.

بهره‌برداری از این ضعف بسیار ساده و کاملاً قابل خودکارسازی است؛ مهاجم بدون نیاز به احراز هویت، از راه دور و بدون هرگونه تعامل کاربر، تنها با ایجاد چند اتصال ناقص به پورت mongos پشت HAProxy می‌تواند سرور را از دسترس خارج کند. این آسیب‌پذیری در نسخه‌های 6.0.23، 7.0.20 و 8.0.9 به طور کامل پچ و برطرف شده است.

CVSS

لیست محصولات آسیب پذیر

لیست محصولات بروز شده

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که MongoDB Server را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

نتیجه گیری

این آسیب‌پذیری با شدت بالا باعث می‌شود کامپوننت mongos در Sharded Clusterهایی که پشت لودبالانسر HAProxy قرار دارند، در اثر پردازش نادرست داده‌های ناقص دیگر نتواند اتصالات جدید را بپذیرد. این عملکرد عملاً موجب انکار سرویس (DoS) شده و مهاجم می‌تواند بدون نیاز به احراز هویت و از راه دور آن را ایجاد کند. با توجه به انتشار پچ های رسمی، اجرای اقدامات زیر برای جلوگیری از آسیب پذیری و کاهش ریسک ضروری است:

• به‌روزرسانی فوری: تمام نودهای mongos را به نسخه‌های 6.0.23، 7.0.20 ، 8.0.9 یا بالاتر به روزرسانی کنید. این اقدام، مؤثرترین و قطعی‌ترین راهکار برای رفع آسیب‌پذیری است و باید در اولویت قرار گیرد. سایر اقدامات نقش مکمل را دارند و می‌توانند به کاهش ریسک این آسیب پذیری و مقابله با حملات مشابه کمک کنند.
• پیکربندی محدودیت زمانی (Timeout) در HAProxy: مقادیر timeout client و timeout server را به حدود 30 تا 60 ثانیه کاهش دهید تا اتصال‌های ناقص سریع‌تر قطع شوند و از مصرف غیرقابل کنترل منابع جلوگیری شود.
• محدودسازی دسترسی به پورت mongos: دسترسی به پورت mongos (معمولاً 27017) را فقط برای کلاینت‌ها یا لودبالانسرهای مجاز باز بگذارید و آن را با فایروال یا گروه‌های امنیتی (Security Groups) محدود کنید.
• مانیتورینگ مداوم: وضعیت اتصال‌ها، میزان مصرف Thread Pool و تأخیر سیستم را با ابزارهایی مانند MongoDB Ops Manager یا Prometheus + Grafana بررسی کنید تا فوراً هر گونه نشانه انکار سرویس (DoS) شناسایی شود.

با اجرای این راهکارها به‌ویژه به‌روزرسانی فوری می‌توان از انکار سرویس جلوگیری کرد و دسترس‌پذیری کلاسترهای MongoDB را تضمین نمود.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)
در این سناریو ورودی اولیه اساساً سوءاستفاده از اتصالات نیمه‌باز به HAProxy/MongoDB است؛ مهاجم بدون نیاز به احراز هویت با ارسال حجم بالای درخواست‌های ناقص، سطح حمله را از لایه شبکه به لایه اپلیکیشن می‌کشاند و شرایط لازم برای مصرف تدریجی منابع را فراهم می‌سازد. این ورودی به‌خاطر ماهیت عمومی پورت‌ها و فقدان محدودیت منابع می‌تواند از اینترنت قابل بهره‌برداری باشد.

Defense Evasion (TA0005)
حملات Slow/Partial Request معمولاً با نرخ پایین ارسال می‌شوند تا در مانیتورینگ‌های حجمی تشخیص داده نشوند. مهاجم با توزیع درخواست‌ها در طول زمان و استفاده از IPهای متعدد، الگوی طبیعی ترافیک را تقلید می‌کند.

Impact (TA0040)
پیامد اصلی ایجاد اختلال عملیاتی، مصرف کامل Thread Pool، کاهش توان پاسخ‌دهی mongos و در نهایت قطع سرویس است. این وضعیت منجر به تأخیر شدید، timeoutهای زنجیره‌ای و ناپایداری در کل معماری می‌شود و عملکرد اپلیکیشن در مقیاس سازمانی را هدف قرار می‌دهد.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-6714
2. https://www.cvedetails.com/cve/CVE-2025-6714/
3. https://jira.mongodb.org/browse/SERVER-106753
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-6714
5. https://vuldb.com/?id.315175
6. https://nvd.nist.gov/vuln/detail/CVE-2025-6714
7. https://cwe.mitre.org/data/definitions/834.html
8. https://cwe.mitre.org/data/definitions/400.html