MongoBleed（CVE-2025-14847）：「漏れない」データベースが、血を流す

分析と相関は、プラットフォームRecorded Future（Insikt Group）の助けも借りて構築しました。こうしたケースでは、シグナル、噂、運用上の優先順位が入り乱れる混沌に秩序を与えるのに役立ちます。

誰も望んでいないのに毎年きっちりやって来るクリスマスの伝統がある：パネットーネ、親戚…そして認証前（pre-auth）のバグが、サーバからメモリの断片をキャンディみたいに吐き出させる。今回の毒入りプレゼントはMongoBleed、すなわちCVE-2025-14847で、MongoDB Serverを直撃する。

これは「全部壊してデータを暗号化する」タイプの典型的な脆弱性ではない。もっと陰湿な意味で厄介だ：秘密を持ち去る。そして秘密があれば、残りは全部開けられる。

何が起きるのか

欠陥はzlibによる圧縮メッセージの処理にある。長さフィールドが不整合だと、サーバがリモートの未認証クライアントに初期化されていないヒープメモリを返してしまう可能性がある。結果として、メモリ上の「通りすがり」のデータが漏えいする。Heartbleedっぽいが、MongoDBの世界で起きる。

ここでの重要点は一つ：認証前だということ。インスタンスがインターネットから到達可能なら、攻撃者は何も「推測」する必要がない。サービスに話しかけるだけでいい。

漏えいし得るのは認証情報、セッショントークン、APIキー、クラウドキー、PII、設定、ログ断片など。ピボットや権限昇格に最適な素材で、「受動的」な漏えいを「能動的」（かつ収益化可能）な侵害へ変えられる。

そして、安心材料としての「でもMongoはファイアウォールの内側だから」という発想も、残念ながら救いにならない：しばしばそうではない。あるいはもっと悪く、「書類上だけ」そうなっている。

パッチ

公表されている修正版には8.2.3、8.0.17、7.0.28、6.0.27、5.0.32、4.4.30が含まれる。NVDは影響範囲と該当ブランチ（「移行」がもはや助言ではなく先延ばしされた宣告になっているレガシーも含む）を確認している。

MongoDBは2025年12月19日にパッチをリリースした。そしていつも通り、「修正が利用可能」から「大規模悪用」までの時間はあくびで測れる。

「In the wild」

複数の分析が活発な悪用と、詳細/PoC公開後の加速を報告している。並行してCensysは部屋の中の象を可視化する：およそ87,000のMongoDBインスタンスが露出している（上位にはおなじみの国々）。

そして苦い余談：2025年になっても、データベースをランディングページみたいにインターネットに置きっぱなしにする話をしている。誰かが「回収」に来ても驚けない。

検知

MongoBleedの最も厄介な点の一つがこれだ：一般的なSIEMフローに「分かりやすい」痕跡が残るとは限らない。複数の研究者が（Velociraptorや専用クエリなど）アーティファクトとハンティングロジックを推し進めている。PoCのパターンを捕捉するには、周辺だけでなく現場の可視性が必要だからだ。

要するに：MongoDBノードでまともなログが取れていないと、インシデントを診断ではなく症状で知ることになる。

Ubisoft / Rainbow Six Siege

MongoBleedが、Ubisoft / Rainbow Six Siegeに関連する注目事案で初期侵入ベクターとして使われた可能性が取り沙汰されている。VX-Undergroundは明確な主張を報じている一方、別の情報源は侵害自体は実在するとしつつも、ベクターは公に未証明として扱っている。結論：レーダーには載せておくが、Xを法廷にしてはいけない。

そしてまさにここで、インテリジェンスの観点からRecorded Future/Insiktが役に立つ：事実、確度、プロパガンダを切り分けること。

今後数週間に起きると予想すること

いつも同じことが起きる：スキャンの波、機会主義的な悪用、その後「良い」標的（別の場所に入るために有用な秘密を引き出せる相手）の選別。MongoBleedはこのモデルに完璧に合う：鍵を盗むほうが、境界を頭突きで破るより効率的なことが多い。

そしてイタリアでは？インシデントに愛国心を持ち込む必要はない。MongoDBはモダンなスタックの至る所にあり、しばしば小さなチームが扱い、しばしば「一時的に露出」（つまり永遠に）し、しばしば「どうせ誰も興味ない」という発想で運用される。ネタバレ：大いに興味を持たれる。特にメモリから出ていくのが再利用可能なトークンや認証情報ならなおさらだ。

今すぐやるべきこと

パッチ適用。今すぐ。すぐにパッチできないなら、攻撃面を減らす：インターネットへの直接露出はしないこと。暫定緩和策として想定されている場合は、更新するまでzlib圧縮の無効化を検討する（これは松葉杖であって、治癒ではない）。そのうえで、楽観的なsysadminではなくインシデントレスポンダーとして考える：インスタンスが露出していて活動が疑われるなら、メモリ上に存在し得た秘密のローテーション（認証情報、APIキー、トークン、クラウドキー）を検討し、狙いを定めたハンティングを行う。

なぜなら問いは「侵入されたか？」ではない。MongoBleedでは、もっとシニカルな問いになる：「どの秘密がすでに漏れた可能性があるか？」

この記事は気に入りましたか？私たちはLinkedIn、Facebook、Instagramのコミュニティで議論しています。Google Newsでもフォローして、サイバーセキュリティに関する日々の更新を受け取ってください。あるいは、掲載したいニュース、深掘り、寄稿をお知らせいただける場合はご連絡ください。