MongoBleed (CVE-2025-14847): il database che “non perde”, sanguina

Analisi e correlazioni costruite anche grazie alla piattaforma Recorded Future (Insikt Group), che in questi casi è utile per mettere ordine nel caos tra segnali, rumor e priorità operative.

C’è una tradizione natalizia che nessuno ha chiesto ma che puntualmente arriva: panettone, parenti… e un bug pre-auth che fa uscire pezzi di memoria dal server come se fossero caramelle. Questa volta il regalo avvelenato si chiama MongoBleed, ovvero CVE-2025-14847, e colpisce MongoDB Server.

Non è la classica vulnerabilità “rompo tutto e ti cifro i dati”. È peggio in un modo più subdolo: ti porto via i segreti. E con i segreti ci apro tutto il resto.

Cosa succede

Il difetto nasce nella gestione dei messaggi compressi via zlib: con campi di lunghezza incoerenti, il server può finire a restituire heap memory non inizializzata a un client remoto non autenticato. Il risultato è un leak di dati “di passaggio” in memoria, molto in stile Heartbleed vibes, ma nel mondo MongoDB.

Qui il punto chiave è uno: prima dell’autenticazione. Se l’istanza è raggiungibile da Internet, l’attaccante non deve “indovinare” nulla. Deve solo parlare col servizio.

Parliamo di possibili leak di credenziali, token di sessione, API key, chiavi cloud, PII, config e frammenti di log. È materiale perfetto per fare pivot, escalation, e trasformare un leak “passivo” in compromissione “attiva” (e monetizzabile).

E no, non ti salva l’idea rassicurante “ma tanto Mongo è dietro al firewall”: spesso non lo è. O peggio, lo è “sulla carta”.

Patch

Le versioni fixate riportate pubblicamente includono 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32, 4.4.30; NVD conferma la finestra di impatto e i rami coinvolti (inclusi quelli legacy dove la parola “migrazione” non è più un consiglio ma una condanna rimandata).

MongoDB ha rilasciato le patch il 19 dicembre 2025 e, come sempre, il tempo tra “fix disponibile” e “abuso in massa” si misura in sbadigli.

“In the wild”

Diverse analisi riportano sfruttamento attivo e un’accelerazione dopo la pubblicazione di dettagli/PoC. In parallelo, Censys fotografa l’elefante nella stanza: circa 87.000 istanze MongoDB esposte (con i soliti Paesi ai vertici).

E qui la nota di colore amara: nel 2025 discutiamo ancora di database lasciati su Internet come se fossero una landing page. Poi ci stupiamo se qualcuno passa a “raccogliere”.

Detection

Una delle parti più fastidiose di MongoBleed è proprio questa: non è detto che lasci tracce “facili” nei soliti flussi SIEM. Diversi ricercatori stanno spingendo artefatti e logiche di hunting (Velociraptor, query dedicate), perché intercettare i pattern del PoC richiede visibilità sul posto, non solo in periferia.

In pratica: se non hai logging decente sul nodo MongoDB, rischi di scoprire l’incidente dai sintomi, non dalla diagnosi.

Ubisoft / Rainbow Six Siege

Circola l’ipotesi che MongoBleed sia stato usato come vettore di accesso iniziale in un caso mediatico legato a Ubisoft / Rainbow Six Siege. VX-Underground riporta claim espliciti, mentre altre fonti trattano la vicenda come breach reale ma con vettore ancora non dimostrato pubblicamente. Morale: teniamolo sul radar, ma senza trasformare X in un tribunale.

Ed è esattamente qui che Recorded Future/Insikt, lato intelligence, torna comodo: separare fatti, probabilità e propaganda.

Cosa mi aspetto che succeda nelle prossime settimane

Succede sempre la stessa cosa: ondata di scanning, exploitation opportunistica, poi selezione dei bersagli “buoni” (quelli da cui puoi estrarre segreti utili per entrare altrove). MongoBleed è perfetta per questo modello: rubare chiavi è spesso più efficiente che bucare un perimetro a testate.

E in Italia? Non serve fare patriottismo dell’incidente: MongoDB è ovunque in stack moderni, spesso in mano a team piccoli, spesso “temporaneamente esposto” (cioè per sempre), spesso con l’idea che “tanto non interessa a nessuno”. Spoiler: interessa eccome. Soprattutto quando quello che esce dalla memoria sono token e credenziali riutilizzabili.

Cosa fare adesso

Patchare. Subito. Se non puoi patchare immediatamente, ridurre la superficie: niente esposizione diretta su Internet e, dove previsto come mitigazione temporanea, valutare la disabilitazione della compressione zlib finché non aggiorni (è una stampella, non una guarigione). Poi ragionare da incident responder, non da sysadmin ottimista: se l’istanza era esposta e sospetti attività, considera la rotazione dei segreti potenzialmente in memoria (credenziali, API key, token, chiavi cloud) e fai hunting mirato.

Perché la domanda non è “mi hanno bucato?”. La domanda, con MongoBleed, è più cinica: “quali segreti potrebbero essere già usciti?”

L'articolo MongoBleed (CVE-2025-14847): il database che “non perde”, sanguina proviene da Red Hot Cyber.

#Russia “insider” analysis from INSIDER-T channel. Please note, as with any “insider” content it’s unverifiable. I’m posting it because it describes a logic that is consistent with observable pattern of #Putin decisions:

We spoke with a number of sources in political circles, and their assessments coincide: 2026 will not bring an end to the special military operation for Russians. On the contrary, the elites are convinced that next year will see an intensification of the conflict rather than its de-escalation.

According to our interlocutors, Putin has staked everything on a military solution to all the tasks of the SVO. This applies not only to Donbas, but also to broader goals, extending as far as Odessa. Outwardly, the Kremlin continues to demonstrate moderate, ‘negotiable’ rhetoric towards the US and other players, but within the government there is no talk of a real peace. Any initiatives are either delayed or burdened with conditions that are obviously unacceptable to Kyiv.

A telling example is Putin’s recent statements. First, he agreed to Trump’s framework plan, which envisages the withdrawal of the Ukrainian Armed Forces from Donbas while maintaining Ukraine’s control over the Zaporizhzhia region. The very next day, he reminded everyone that Russia’s position had not changed since June 2024: the Ukrainian Armed Forces must leave all these regions. Within the elite circles, this is perceived as a deliberate tactic — creating the illusion of dialogue without giving up any of the maximum goals.

According to sources, for Putin, the SVO has long gone beyond the scope of an ‘operation.’ It is the culmination of his political career. The goal is not simply to strengthen Russia’s position, but to return what he considers to be historical territories. Economic costs and human losses are secondary in this logic and, in his estimation, incomparable to the effect of possible acquisitions. That is why even small settlements in Donbas are the scene of fierce fighting: the priority is not the territory itself, but the grinding down of the Ukrainian Armed Forces.

A separate factor is the question of succession. According to interlocutors, Putin considers it dangerous to leave office without bringing the SVO to its logical conclusion. An unresolved conflict makes the transition of power vulnerable for him personally. Hence the desire not just to fight, but to consolidate the results — both domestically and internationally, including a new configuration of relations with NATO.

There is also talk behind the scenes that Putin does not plan to run for office in 2030. He wants to leave ‘at the peak,’ in a controlled and relatively stable state, without repeating the fate of late Soviet leaders. To do this, he needs to complete the SVO with maximum results and consolidate the gains. The most likely successor in elite circles is said to be Dyumin — it is no coincidence that, according to rumours, a PR team is already working in his entourage, carefully building a positive and ‘statesmanlike’ image.

Therefore, the expectations within the elite are clear: 2026 is unlikely to be a year of peace. On the contrary, the conflict will gradually gain momentum, approaching its climax.

Source: t.me/insider_best_tg/5121 (in Russian)

#Ukraine