出典: Security NEXT – https://www.security-next.com/179366
国内で「MongoBleed」悪用被害は未確認 – 攻撃増加に要警戒
国内で「MongoBleed」悪用被害は未確認 – 攻撃増加に要警戒
NoSQLデータベース「MongoDB」に深刻な脆弱性が見つかった問題で、JPCERTコーディネーションセンターは利用者に対策の実施を呼びかけている。
「Zlib」で圧縮されたプロトコルヘッダの処理に起因し、認証を必要とすることなくリモートから未初期化のヒープメモリを読み取ることが可能となる「CVE-2025-14847」が確認されたもの。現地時間2025年12月19日に公表されたもので、一部では「MongoBleed」とも呼ばれている。
「MongoDB Server」へアクセスできる場合に、認証情報やトークン、APIキー、シークレット、データベース内のデータなど、重要な情報が窃取されるおそれがある。
すでに概念実証コード（PoC）が公開されているほか、米サイバーセキュリティインフラストラクチャセキュリティ庁も現地時間2025年12月29日に「悪用が確認された脆弱性カタログ（KEV）」へ同脆弱性を登録しており注意喚起が行われている。
JPCERT/CCは、2026年1月6日時点で国内における脆弱性の悪用事例などは確
