MongoDB の脆弱性 CVE-2025-3083／3084／3085 が FIX：サービス拒否や認証バイパスの恐れ

MongoDB Patches: DoS & Bypass Risks Addressed

2025/04/02 SecurityOnline — 人気のオープンソース NoSQL データベースである MongoDB が公表したのは、新たに公開された３つの脆弱性に対処するパッチのリリースである。これらの脆弱性の悪用に成功した攻撃者は、MongoDB デプロイメントに対して、サービス拒否攻撃や認証バイパス攻撃を仕掛ける可能性を手にする。

１つ目の脆弱性 CVE-2025-3083 (CVSS：7.5) は、mongos ルーター・プロセスのクラッシュを攻撃者に許す、深刻度の高い脆弱性である。この種の攻撃は、特別に細工された不正な形式の、MongoDB ワイヤ・プロトコル・メッセージの送信で達成される。特に警戒すべき点は、認証された接続を必要としない攻撃が可能であるため、悪用の障壁が大幅に低下することだ。

影響を受けるバージョン：

  • MongoDB
    5.0.x < 5.0.31
    6.0.x < 6.0.20
    7.0.x < 7.0.16

２つ目の脆弱性 CVE-2025-3084 (CVSS：6.5) は、MongoDB の explain コマンドに存在する。クエリ実行プランを分析するために開発者や管理者が多用する、このデバッグ・ツールは、特定の引数の組み合わせを使用前に検証できない。

したがって、ルーター・サーバのコンテキストでは、この見落としにより想定外のクラッシュが発生する可能性があり、攻撃者は最小限の労力で、ノードをダウンさせるクエリを作成できる。CVSS スケールは、それほど高くないが、内部環境での悪用の容易さにより現実的なリスクが生じる。

影響を受けるバージョン：

  • MongoDB Server
    5.0.x < 5.0.31
    6.0.x < 6.0.20
    7.0.x < 7.0.16
    8.0.x < 8.0.4

３つ目の脆弱性 CVE-2025-3085 (CVSS 8.1) は、Linux で実行される MongoDB サーバ固有のセキュリティ上の欠陥である。この深刻度の高い脆弱性は、TLS および Certificate Revocation List (CRL) チェックが有効化されている場合に、中間証明書の失効ステータスをチェックできないことに関係する。

この見落としにより、特にデフォルトでは有効化されていない MONGODB-X509 や、クラスター内認証が含まれるシナリオにおいて、不適切な認証が発生する可能性がある。この脆弱性を悪用する攻撃者は、失効した証明書を用いて不正アクセスを達成する可能性を持つ。

影響を受けるバージョン：

  • MongoDB Server
    5.0.x < 5.0.31
    6.0.x < 6.0.20
    7.0.x < 7.0.16
    8.0.x < 8.0.4

MongoDB 管理者は、サーバに対して必要なパッチを優先的に適用し、これらのリスクを軽減する必要がある。さらに、データベース・システムの整合性と可用性を確保するためには、セキュリティ・コンフィグレーションの徹底的なテストと検証が不可欠である。

今回の脆弱性は、外部からの DoS 攻撃／内部からの権限の悪用／TLS の信頼性に関わる問題と、まさに「外・中・根本」と、あらゆる面で狙われるリスクが浮き彫りになった印象です。どこから攻撃されても、おかしくないという感じですね。よろしければ、MongoDB で検索も、ご参照下さい。