2025年12月MongoDB Serverに、認証不要でサーバーメモリ断片を漏えいさせ得る脆弱性（CVE-2025-14847）が通称MongoBleedが報告されました。攻撃はネットワーク層で成立し、公開ポートに到達できる攻撃者であればログインなしで試行可能とされています。
研究者レポートでは、zlib圧縮の扱いに起因して、未初期化領域を含むバッファが有効データとして扱われ、結果としてメモリ上の断片が応答に混入するリスクが指摘されています。
加えて、PoC（概念実証コード）が公開され、攻撃手法の再現性が高まっています。さらに一部のセキュリティベンダーやコミュニティでは「悪用が始まっている」とする報告も出ていますが一方で「大規模に広く悪用されているとまでは断定できない」とする見解もあり、観測状況には幅があります。
脆弱性の概要
本件は、MongoDBのネットワークメッセージ圧縮（zlib）に関する処理で、展開後のデータ長の扱いを誤ることで発生します。攻撃者が細工した圧縮メッセージを送ると、サーバー側が「実際に展開された長さ」ではなく「確保したバッファ長」を正として扱ってしまい、バッファ内の未初期化領域まで“データ”として後段に渡る可能性があるという脆弱性です
脆弱性の影響を受けるバージョン
MongoDBの公開情報に基づくと、以下のバージョンが影響を受けます。
-
MongoDB 8.2.0 ～ 8.2.3
-
MongoDB 8.0.0 ～ 8.0.16
-
MongoDB 7.0.0 ～ 7.0.26
-
MongoDB 6.0.0 ～ 6.0.26
-
MongoDB 5.0.0 ～ 5.0.31
-
MongoDB 4.4.0 ～ 4.4.29
-
MongoDB Server v4.2 系すべて
-
MongoDB Server v4.0 系すべて
-
MongoDB Server v3.6 系すべて
長期運用されているレガシーバージョンも広く含まれており、オンプレミス環境やクラウド上で古いMongoDBを稼働させている場合は特に注意が必要です。
対策バージョン（修正済みバージョン）
MongoDBは、以下のバージョンで本脆弱性を修正しています。
-
MongoDB 8.2.3
-
MongoDB 8.0.17
-
MongoDB 7.0.28
-
MongoDB 6.0.27
-
MongoDB 5.0.32
-
MongoDB 4.4.30
公式には、該当する系統の最新修正バージョンへ速やかにアップグレードすることが唯一の恒久対策とされています。
PoCが示す現実的な攻撃像
公開されているPoCは、脆弱性の本質である「圧縮展開後の長さの不整合」を突き、未初期化メモリが読み出し側の都合で解釈される状況を作ります。結果として、意味のある断片（設定情報の一部、OS由来の情報片、内部状態など）が混在して得られ得る、という点を可視化しています。
悪用状況について（断定せず、現場の温度感）
悪用状況は情報源によって表現に差があります。たとえば「すでに悪用されている」とする言及がある一方で、「広範な悪用が確認できる段階ではない」とする評価もあります。
参照
MongoDB Unauthenticated Attacker Sensitive Memory Leak
関連記事
MongoDBで重大な脆弱性（CVE-2025-14847）、早急な更新を推奨
MongoDB、複数のDoS・認証バイパス 脆弱性の修正パッチを公開
WindowsのTCP/IP IPv6を使用する全てのシステムに影響を与える緊急度の高い 脆弱性(CVE-2024-38063)
Tableau Server/Desktopに複数の深刻な脆弱性-CVE-2025-26496など修正済み
MongoDBに深刻なDoS脆弱性(CVE-2025-6709)
Jenkins、複数プラグインの深刻な脆弱性を修正(CVE-2025-47889,CVE-2025-47884,CVE-2025-47885)
OpenSSLが3件の脆弱性を同時公開(CVE-2025-9230 / -9231 / -9232)
Reactで新たな脆弱性 DoS（サービス不能）とソースコード 漏洩の可能性、19系の複数バージョンに影響(CVE-2025-55184 / CVE-2025-67779/CVE-2025-55183)
インド政府、国民の全スマートフォンへ政府指定 セキュリティアプリのインストールを指示
