MongoDBで重大な脆弱性（CVE-2025-14847）、早急な更新を推奨|セキュリティと脆弱性のニュース-セキュリティ対策Lab

投稿日時: 2025年12月25日更新日時: 2025年12月29日

MongoDBは2025年12月、同社が提供するMongoDB Serverにおいて、未認証のクライアントからサーバー内部のメモリ情報が取得される可能性がある重大な脆弱性（CVE-2025-14847）を修正したと発表しました。本件はMongoDBの通信圧縮機能（zlib）に起因するもので、認証を経ずにヒープメモリ上の未初期化データが返却される恐れがあるとされています。

1 脆弱性の影響を受けるバージョン
2 対策バージョン（修正済みバージョン）
3 概要
- 3.1 回避策（暫定対応）

脆弱性の影響を受けるバージョン

MongoDBの公開情報に基づくと、以下のバージョンが影響を受けます。

MongoDB 8.2.0 ～ 8.2.3
MongoDB 8.0.0 ～ 8.0.16
MongoDB 7.0.0 ～ 7.0.26
MongoDB 6.0.0 ～ 6.0.26
MongoDB 5.0.0 ～ 5.0.31
MongoDB 4.4.0 ～ 4.4.29
MongoDB Server v4.2 系すべて
MongoDB Server v4.0 系すべて
MongoDB Server v3.6 系すべて

長期運用されているレガシーバージョンも広く含まれており、オンプレミス環境やクラウド上で古いMongoDBを稼働させている場合は特に注意が必要です。

対策バージョン（修正済みバージョン）

MongoDBは、以下のバージョンで本脆弱性を修正しています。

MongoDB 8.2.3
MongoDB 8.0.17
MongoDB 7.0.28
MongoDB 6.0.27
MongoDB 5.0.32
MongoDB 4.4.30

公式には、該当する系統の最新修正バージョンへ速やかにアップグレードすることが唯一の恒久対策とされています。

概要

MongoDBの発表によると、本脆弱性はサーバー側のzlib実装において、クライアントから細工されたリクエストを受信した場合に、本来返却されるべきでないメモリ領域の内容が応答に含まれる可能性があるというものです。
特筆すべき点は、認証を必要としないクライアント通信の段階で悪用が成立する可能性があることです。これにより、攻撃者がサーバー内部の情報（断片的なデータであっても）を取得できるリスクがあり、情報漏えいの観点から無視できない問題とされています。

MongoDBは本件を「重大な修正（critical fix）」と位置付けており、影響を受ける環境では早急な対応が必要だとしています。