CVE 데이터베이스CVE-2025-14847

최종 갱신 2026-06-17English Advisory →

CVE-2025-148477.5/HIGHCISA KEV 등재CWE-130

MongoDB Server Zlib 압축 프로토콜 헤더 길이 불일치로 인한 인증 전 힙 메모리 정보 유출 취약점 (CVE-2025-14847)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

mongodb

대상 컴포넌트 / 패키지

mongodb_server

권고문 발행일

2025-12-19

CVSS v3.1

7.5

HIGH

30일 악용확률

83.2%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

MongoDB Server v3.6 이상, v4.0 이상, v4.2 이상, v4.4.30 미만, v5.0.32 미만, v6.0.27 미만, v7.0.28 미만, v8.0.17 미만, v8.2.3 미만의 모든 버전

파급 효과

인증되지 않은 원격의 공격자가 조작된 Zlib 압축 프로토콜 헤더를 전송하여 초기화되지 않은 힙 메모리 영역의 데이터를 탈취하고 민감한 정보를 획득할 수 있습니다

권장 조치

사용 중인 MongoDB 버전에 대응하는 최신 보안 패치 버전(v4.4.30, v5.0.32, v6.0.27, v7.0.28, v8.0.17, v8.2.3 등)으로 즉시 업그레이드를 수행하십시오

영향받는 제품 및 버전 범위

MongoDB Server v3.6.0 이상, v4.0.0 이상, v4.2.0 이상 및 v4.4.30 미만, v5.0.32 미만, v6.0.27 미만, v7.0.28 미만, v8.0.17 미만, v8.2.3 미만의 모든 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

사용 중인 운영체제 패키지 관리자를 통해 MongoDB Server를 최신 보안 패치 버전으로 업그레이드하십시오.

bash

# Ubuntu/Debian 계열 시스템에서 MongoDB 패키지 업데이트
sudo apt-get update
sudo apt-get --only-upgrade install -y mongodb-org mongodb-org-server

# RHEL/CentOS/Rocky Linux 계열 시스템에서 MongoDB 패키지 업데이트
sudo yum clean all
sudo yum update -y mongodb-org-server

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 패치 적용이 어려운 경우, MongoDB 설정 파일(/etc/mongod.conf)에서 네트워크 바인딩 주소를 제한하고 방화벽 규칙을 적용하여 신뢰할 수 없는 IP로부터의 접근을 원천 차단하십시오.

bash

# 1. mongod.conf 설정 변경 (로컬호스트 또는 특정 내부 IP로만 바인딩)
# /etc/mongod.conf 파일의 net 섹션을 아래와 같이 수정합니다.
# net:
#   port: 27017
#   bindIp: 127.0.0.1,10.0.0.5

# 2. UFW 방화벽을 사용하여 외부로부터의 27017 포트 접근 차단
sudo ufw deny 27017/tcp
sudo ufw allow from 10.0.0.0/24 to any port 27017 proto tcp
sudo ufw reload

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

현재 실행 중인 MongoDB 버전을 확인하고, 비정상적인 대규모 연결 시도나 프로토콜 오류 로그를 점검하는 스크립트입니다.

bash

# 1. 현재 실행 중인 MongoDB 버전 확인
mongod --version | grep 'db version'

# 2. MongoDB 로그 파일에서 비정상적인 연결 종료 및 프로토콜 오류 패턴 검색
# (로그 경로 및 파일명은 시스템 설정에 따라 다를 수 있습니다)
sudo grep -Ei 'connection.*ended|protocol.*error|invalid.*length' /var/log/mongodb/mongod.log | tail -n 50

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Cloudflare Enterprise & Pro WAF

CISA KEV 등재 취약점이므로, 외부 노출된 MongoDB 인프라의 접근 제어를 즉시 강화하고 최신 패치 버전으로 신속히 업그레이드하십시오.

코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요

서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.

평균 설정 시간 3분 · Zero-Day 자동 룰 업데이트

무료 WAF 보안 진단 및 룰셋 적용하기

이 웹 취약점(WAF 우회 & RCE)을 안전한 실습 랩에서 직접 재현해 보세요

실습 랩 & 보안 강의 보러가기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2025-14847, 일명 'MongoBleed')은 MongoDB Server의 네트워크 통신 프로토콜 처리 과정에서 발생합니다. MongoDB는 클라이언트와 서버 간의 데이터 전송 효율을 높이기 위해 OP_COMPRESSED 메시지 구조를 지원하며, 이때 Zlib 압축 알고리즘을 사용할 수 있습니다. 취약점의 근본 원인은 Zlib 압축 프로토콜 헤더 내의 길이 필드 검증 미흡(CWE-130)에 있습니다. 압축 해제 후 예상되는 데이터 크기와 실제 압축 헤더에 명시된 길이 필드 간의 불일치가 발생할 때, 서버가 이를 적절히 검증하지 않고 메모리를 할당 및 복사하면서 초기화되지 않은 힙 메모리(Uninitialized Heap Memory) 영역을 클라이언트에 그대로 반환하게 됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

인증되지 않은 원격의 공격자는 MongoDB 포트(기본값: 27017)로 직접 소켓 연결을 설정한 후, 특수하게 조작된 OP_COMPRESSED 패킷을 전송합니다. 이 패킷은 Zlib 헤더 내의 실제 압축 데이터 크기보다 더 큰 압축 해제 크기(Decompressed Length) 값을 가지도록 조작됩니다. MongoDB 서버는 이 요청을 처리하는 과정에서 조작된 크기만큼의 메모리 버퍼를 힙 영역에 할당하지만, 실제 압축 해제된 데이터는 그보다 적기 때문에 버퍼의 나머지 공간은 기존에 다른 프로세스나 세션이 사용하고 남겨둔 초기화되지 않은 데이터로 채워진 상태로 남게 됩니다. 서버가 이 버퍼 전체를 응답으로 반환함에 따라, 공격자는 인증을 거치지 않고도 서버의 메모리 데이터를 탈취할 수 있습니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 7.5(High) 등급으로 평가되었으며, CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 공격에 악용되고 있음이 확인되었습니다. 공격자는 이 취약점을 통해 데이터베이스 인증 자격 증명(Credentials), 세션 토큰, 다른 사용자의 쿼리 결과물 및 데이터베이스 내부 구조 정보 등 힙 메모리에 잔존하는 극도로 민감한 비즈니스 데이터를 탈취할 수 있습니다. 특히 인증을 요구하지 않는 단계(Pre-authentication)에서 발생하므로 외부망에 노출된 MongoDB 인프라의 경우 심각한 데이터 유출 사고로 직결될 수 있습니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

Mismatched length fields in Zlib compressed protocol headers may allow a read of uninitialized heap memory by an unauthenticated client. This issue affects all MongoDB Server v7.0 prior to 7.0.28 versions, MongoDB Server v8.0 versions prior to 8.0.17, MongoDB Server v8.2 versions prior to 8.2.3, MongoDB Server v6.0 versions prior to 6.0.27, MongoDB Server v5.0 versions prior to 5.0.32, MongoDB Server v4.4 versions prior to 4.4.30, MongoDB Server v4.2 versions greater than or equal to 4.2.0, MongoDB Server v4.0 versions greater than or equal to 4.0.0, and MongoDB Server v3.6 versions greater than or equal to 3.6.0.

https://jira.mongodb.org/browse/SERVER-115508

출처: cna@mongodb.com · Issue Tracking, Patch, Vendor Advisory

http://www.openwall.com/lists/oss-security/2025/12/29/21

출처: af854a3a-2127-422b-91ae-364da2661108 · Mailing List

https://www.smartkeyss.com/post/mongobleed-pre-auth-memory-disclosure-via-op_compressed-in-mongodb-cve-2025-14847

출처: af854a3a-2127-422b-91ae-364da2661108 · Technical Description, Third Party Advisory

https://www.vicarius.io/vsociety/posts/cve-2025-14847-detection-script-heap-memory-exposure-in-mongodb-server

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory

https://www.vicarius.io/vsociety/posts/cve-2025-14847-mitigation-script-heap-memory-exposure-in-mongodb-server

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory

자주 묻는 실무 질문 (FAQ — CVE-2025-14847)

FAQ

Q1. CVE-2025-14847 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?

CVE-2025-14847의 기본 점수는 CVSS 7.5 (HIGH)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 83.2%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.

Q2. CVE-2025-14847에 영향을 받는 벤더와 제품은 무엇입니까?

주요 영향 벤더는 mongodb이며, 대상 컴포넌트는 mongodb_server입니다. 상세 영향 범위: MongoDB Server v3.6.0 이상, v4.0.0 이상, v4.2.0 이상 및 v4.4.30 미만, v5.0.32 미만, v6.0.27 미만, v7.0.28 미만, v8.0.17 미만, v8.2.3 미만의 모든 버전

Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?

[권장 조치] 사용 중인 MongoDB 버전에 대응하는 최신 보안 패치 버전(v4.4.30, v5.0.32, v6.0.27, v7.0.28, v8.0.17, v8.2.3 등)으로 즉시 업그레이드를 수행하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.

실무자 보고서 워크벤치 연동