何が問題か
MongoDB Server の Zlib 圧縮プロトコルヘッダーにおける長さパラメータの不一致の不適切な処理の脆弱性が含まれています。この欠陥により、認証されていないクライアントが初期化されていないヒープメモリを読み取る可能性があります。
影響を受ける対象
この問題は、MongoDB バージョン 3.6.0 から 4.4.30 未満、5.0.0 から 5.0.32 未満、6.0.0 から 6.0.27 未満、7.0.0 から 7.0.28 未満、8.0.0 から 8.0.17 未満、および 8.2.0 から 8.2.3 未満に影響します。
対処方法
使用しているリリースブランチに応じて、MongoDB をバージョン 4.4.30、5.0.32、6.0.27、7.0.28、8.0.17、または 8.2.3 に更新してください。あるいは、ベンダーが提供する緩和策を適用してください。
原文の説明
Mismatched length fields in Zlib compressed protocol headers may allow a read of uninitialized heap memory by an unauthenticated client. This issue affects all MongoDB Server v7.0 prior to 7.0.28 versions, MongoDB Server v8.0 versions prior to 8.0.17, MongoDB Server v8.2 versions prior to 8.2.3, MongoDB Server v6.0 versions prior to 6.0.27, MongoDB Server v5.0 versions prior to 5.0.32, MongoDB Server v4.4 versions prior to 4.4.30, MongoDB Server v4.2 versions greater than or equal to 4.2.0, MongoDB Server v4.0 versions greater than or equal to 4.0.0, and MongoDB Server v3.6 versions greater than or equal to 3.6.0.
悪用確認済み（CISA KEV）
- KEV 追加日
- 2025-12-29
- 対応期限（米連邦機関）
- 2026-01-19
- ランサムウェアでの使用
- Unknown
- 必要な対応
- Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
影響を受けるソフトウェア
- MongoDB ≥ 7.0.0 < 7.0.28≥ 5.0.0 < 5.0.32≥ 8.2.0 < 8.2.3≥ 3.6.0 < 4.4.30≥ 6.0.0 < 6.0.27≥ 8.0.0 < 8.0.17 修正バージョン: 7.0.28, 5.0.32, 8.2.3, 4.4.30 完全一致
詳細
- 公開日
- 2025-12-19
- 最終更新
- 2026-02-27
- CVSS ベクター
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N- CWE
- CWE-130
- EPSS（30日以内の悪用確率）
- 83.22% (パーセンタイル 100)
参考資料
本製品は NVD API のデータを使用していますが、NVD による承認または認定を受けたものではありません。CVE® は The MITRE Corporation の登録商標です。CVE レコードは CVE Program の利用規約に基づいて使用しています。