CVE-2025-14847: lettura memoria non autorizzata in MongoDB

CVE-2025-14847 è una vulnerabilità nel protocollo di compressione Zlib utilizzato da MongoDB Server. Misallineamenti nei campi lunghezza degli header compresso consentono a un client non autenticato di leggere memoria heap non inizializzata, potenzialmente esponendo dati sensibili memorizzati nel buffer di sistema. Il difetto affetta ogni versione di MongoDB dalla v3.6 alla v8.2, incluse le versioni Long-Term Support più diffuse in ambiente production.

La gravità è calcolata a CVSS 7,5 (high) perché non richiede autenticazione: qualsiasi client di rete può inviare header malformati per leggere memoria. Lo stato della patch è disponibile per tutte le versioni: MongoDB ha rilasciato fix specifici (7.0.28, 8.0.17, 8.2.3, 6.0.27, 5.0.32, 4.4.30 e successive). Segnali su GitHub mostrano strumenti di triage pubblici per identificare istanze esposte, confermando che il CVE è noto in ambiente security.

In difesa, amministratori devono verificare quale versione di MongoDB è in produzione e applicare l'aggiornamento corrispondente dalla lista ufficiale. Dato che non è richiesta autenticazione, tutte le istanze esposte in rete sono a rischio: isolare MongoDB dietro firewall strict resta consigliato finché le patch non siano applicate. Strumenti di triage pubblici possono confermare l'esposizione senza rappresentare un rischio ulteriore rispetto al CVE stesso.