- Aktif istismar
- Yama var
- CWE-130
CVE-2025-14847
MongoDB Server'da Zlib sıkıştırılmış protokol başlığındaki uzunluk karışıklığı bellek okumasına yol açabilir
- Yayımlandı
- Güncellendi
- 26 Şub 2026
- Açık yaşı
- 313 gün
- Kaydı açan
- mongodb
ÖzetTürkçe
Zlib sıkıştırılmış protokol başlıklarındaki uyumsuz uzunluk alanları, kimliği doğrulanmamış bir istemcinin başlatılmamış yığın (heap) belleğini okumasına izin verebilir. Bu sorun, 7.0 sürümünün 7.0.28'den önceki tüm sürümlerini, 8.0 sürümünün 8.0.17'den önceki sürümlerini, 8.2 sürümünün 8.2.3'ten önceki sürümlerini, 6.0 sürümünün 6.0.27'den önceki sürümlerini, 5.0 sürümünün 5.0.32'den önceki sürümlerini, 4.4 sürümünün 4.4.30'dan önceki sürümlerini, 4.2.0 ve üzeri 4.2 sürümlerini, 4.0.0 ve üzeri 4.0 sürümlerini ve 3.6.0 ve üzeri 3.6 sürümlerini etkiler. MongoDB Server için CVSS 3.1 puanı 7.5 (YÜKSEK) olup vektör: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N şeklindedir. Bu açık, CWE-130 kapsamında sınıflandırılmıştır. CISA, bu açığın aktif olarak istismar edildiğini bildirmiş olup 2025-12-29 tarihinde Bilinen Istismar Edilen Zafiyetler (KEV) listesine eklemiştir.
Kaynaktaki açıklama (İngilizce)
Mismatched length fields in Zlib compressed protocol headers may allow a read of uninitialized heap memory by an unauthenticated client. This issue affects all MongoDB Server v7.0 prior to 7.0.28 versions, MongoDB Server v8.0 versions prior to 8.0.17, MongoDB Server v8.2 versions prior to 8.2.3, MongoDB Server v6.0 versions prior to 6.0.27, MongoDB Server v5.0 versions prior to 5.0.32, MongoDB Server v4.4 versions prior to 4.4.30, MongoDB Server v4.2 versions greater than or equal to 4.2.0, MongoDB Server v4.0 versions greater than or equal to 4.0.0, and MongoDB Server v3.6 versions greater than or equal to 3.6.0.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| MongoDB Inc. MongoDB Server | ≥ 8.2, < 8.2.3 | 8.2.3 |
| ≥ 8.0, < 8.0.17 | 8.0.17 | |
| ≥ 7.0, < 7.0.28 | 7.0.28 | |
| ≥ 6.0, < 6.0.27 | 6.0.27 | |
| ≥ 5.0, < 5.0.32 | 5.0.32 | |
| ≥ 4.4, < 4.4.30 | 4.4.30 | |
| 4.2 | – | |
| 4.0 | – | |
| 3.6 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.