Wouter Hoeffnagel - 29 december 2025

Databases actief aangevallen via ernstig lek in MongoDB

Een ernstige beveiligingskwetsbaarheid in MongoDB, aangeduid als CVE-2025-14847 en bijgenaamd MongoBleed, maakt het mogelijk voor aanvallers zonder authenticatie om gevoelige gegevens uit het werkgeheugen van kwetsbare systemen te onttrekken. De kwetsbaarheid treft meerdere versies van MongoDB Server, waaronder zowel onderhouden als verouderde releases. Securitybedrijf Wiz waarschuwt dat het lek actief wordt uitgebuit.

Security Data protection

Databases actief aangevallen via ernstig lek in MongoDB image

De fout zit in de zlib-gebaseerde decompressielogica voor netwerkberichten, die wordt uitgevoerd voordat authenticatie plaatsvindt. Door speciaal geprepareerde netwerkpakketten te versturen kunnen aanvallers het systeem dwingen om ongeïnitialiseerd geheugen terug te sturen. Hierdoor kunnen fragmenten van gevoelige data zoals inloggegevens uitlekken, zonder dat daarvoor geldige referenties of gebruikersinteractie nodig zijn.

Cloudomgevingen op grote schaal kwetsbaar

Volgens onderzoek van Wiz heeft 42% van de cloudomgevingen minstens één MongoDB-instantie die kwetsbaar is voor deze lek, zowel intern als openbaar toegankelijk. Censys meldt wereldwijd 87.000 potentieel kwetsbare instanties. Sinds 26 december 2025 circuleert een werkende exploit publiekelijk, en zijn de eerste meldingen van actieve misbruik binnengekomen.

De kwetsbaarheid is aanwezig in MongoDB-versies 8.2.0–8.2.2, 8.0.0–8.0.16, 7.0.0–7.0.27, 6.0.0–6.0.26, 5.0.0–5.0.31, 4.4.0–4.4.29, evenals alle versies van MongoDB Server 4.2, 4.0 en 3.6. Daarnaast zijn bepaalde Linux-distributies met rsync (die eveneens zlib gebruikt) mogelijk kwetsbaar, hoewel de exploitatiemogelijkheden hiervoor nog onbekend zijn.

Wiz adviseert beveiligingsteams de volgende stappen te zetten:

Patch onmiddellijk naar een van de veilige versies: 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32 of 4.4.30.
Schakel zlib-compressie uit als patchen niet direct mogelijk is, door deze te verwijderen uit networkMessageCompressors of net.compression.compressors. Alternatieven zijn snappy of zstd, of het volledig uitschakelen van compressie.
Beperk netwerktoegang tot MongoDB-servers (bijv. via firewallregels of private netwerken).
Monitor logs op verdachte pre-authenticatieverbindingen of onverwachte crashes. Detectietools en richtlijnen zijn beschikbaar via Eric Capuano en Florian Roth.
Plan upgrades voor verouderde MongoDB-versies zonder ondersteuning, aangezien deze permanent kwetsbaar blijven.

MongoDB Atlas-gebruikers hoeven geen actie te ondernemen; hun instanties zijn automatisch bijgewerkt. Voor zelfgehoste omgevingen blijft handmatig patchen essentieel om datalekken te voorkomen.

Meer informatie over de kwetsbaarheid is hier te vinden.

Tip de redactie