MongoDB、複数のDoS・認証バイパス 脆弱性の修正パッチを公開

ongoDBは、デプロイ環境に対するDoS（サービス拒否）攻撃や認証バイパスのリスクとなり得る3件の脆弱性に対応するパッチを公開しました。対象となるのは、MongoDB 5.0〜8.0までの複数バージョンです。

主な脆弱性の概要

CVE-2025-3083（CVSS 7.5）

特別に細工されたMongoDBワイヤプロトコルメッセージを受信することで、mongosルーターのプロセスをクラッシュさせることが可能となる高リスクの脆弱性です。この攻撃は認証なしで実行可能であるため、悪用の難易度が低く、影響範囲も広いと考えられます。

• 対象バージョン
  • MongoDB 5.0.x < 5.0.31
  • MongoDB 6.0.x < 6.0.20
  • MongoDB 7.0.x < 7.0.16

CVE-2025-3084（CVSS 6.5）

explainコマンドに関する脆弱性で、特定の引数の組み合わせが適切にバリデーションされないまま使用されることによって、内部ノードがクラッシュする可能性があります。主に内部ネットワーク環境で利用される機能であるため外部からの攻撃は限定されますが、実行が容易な点では十分な警戒が必要です。

• 対象バージョン
  • MongoDB Server 5.0.x < 5.0.31
  • MongoDB Server 6.0.x < 6.0.20
  • MongoDB Server 7.0.x < 7.0.16
  • MongoDB Server 8.0.x < 8.0.4

CVE-2025-3085（CVSS 8.1）

Linux上で稼働するMongoDBに特有の脆弱性で、TLSとCRL（証明書失効リスト）チェックが有効化されている場合でも、中間証明書の失効ステータスが正しく検証されないことが原因です。結果として、失効済みの証明書を用いた認証回避が可能となる恐れがあります。

• 対象バージョン
  • MongoDB Server 5.0.x < 5.0.31
  • MongoDB Server 6.0.x < 6.0.20
  • MongoDB Server 7.0.x < 7.0.16
  • MongoDB Server 8.0.x < 8.0.4

対策と推奨対応

MongoDBの管理者は、該当バージョンを使用している場合は早急にパッチの適用を行う必要があります。

特にCVE-2025-3083およびCVE-2025-3085は、認証不要または不完全な証明書チェックという深刻な問題を含んでおり、外部からの悪用リスクが高い点に注意が必要です。

また、TLS設定や証明書管理においても改めてセキュリティ構成の点検を実施し、CRLチェックや証明書の有効性検証の徹底を図ることが重要です。