今週、重大なセキュリティ欠陥によりUbisoftが人気ゲーム『Rainbow Six Siege』のサービス停止を余儀なくされ、数千人のゲーマーがアカウントにログインできなくなりました。ゲーム界隈を追っていない人のために説明すると、Siegeは、チームが協力して建物に突入したり防衛したりする大規模なタクティカルシューターです。これはUbisoftの看板タイトルですが、連休の週末に、MongoDBソフトウェアで新たに発見された脆弱性（MongoBleedと命名）の最も目立つ被害例となりました。
何が起きているのか？
簡単に言うと、MongoDBは、顧客の住所からゲームの進行状況まであらゆるデータを保存するために、何千もの企業で使われている人気のデータベースソフトウェアです。公式にはCVE-2025-14847として追跡されているこの問題は、MongoDBがデータを高速に転送するために「圧縮」する目的で使用しているzlibというツールに関係しています。
コード上のミスにより、外部の攻撃者が破損したメッセージを送信し、サーバーが自身の内部メモリの断片を「漏えい（bleeding）」させるよう騙すことが可能になります。これはシステムがパスワードを要求する前に発生するため、認証なしのハッカーが世界中どこからでも機密情報を盗み出せます。この漏えいしたメモリからは、次のような情報が露出する可能性があります。
- 平文のパスワードやログインキー。
- 個人情報（PII）。
- ハッカーが正規ユーザーになりすますことを可能にするセキュリティトークン。
Ubisoftで起きた混乱
データベースの脆弱性がどうしてビデオゲームを停止させるのか、不思議に思うかもしれません。UbisoftはMongoDBを使って、ランクや解除したアイテムなどのプレイヤー記録を保存しています。オンラインのマルウェアリポジトリであるVX-Undergroundによると、これまでに複数のハッカー集団がMongoBleedの脆弱性を悪用し、ゲーム内部システムへのバックドアを獲得したとのことです。
侵入後、ハッカーはやりたい放題でした。BAN表示（ban ticker）を乗っ取って偽メッセージを表示したり、仲間のBANを解除したり、自分たちのためにあらゆるコスメ衣装やアイテムを全解除したり、さらにプレイヤーに対して驚異の20億R6クレジット（ゲーム内通貨）を付与しました。
Ubisoftは被害拡大を止めるため、ゲーム全体とマーケットプレイスをオフラインにせざるを得ませんでした。「無料」のお金を使ったプレイヤーを処罰しない一方で、侵害中に行われたすべての取引をロールバックする作業を現在進めています。
現実世界で進行中の攻撃
この欠陥は2025年12月19日に最初に公開されましたが、状況が深刻化したのは12月26日、研究者のJoe DesimoneがGitHub上で攻撃の設計図（公開エクスプロイトコード）を公開したときでした。公開以降、WizおよびCensysの専門家は、攻撃が大幅に急増していると指摘しています。彼らは、クラウド環境の42%がリスクにさらされており、現在インターネット上に87,000以上のデータベースが露出した状態で存在すると推定しています。
身を守る方法
古いバージョン（3.6や4.2など）には公式の修正がありませんが、新しいバージョンにはパッチが提供されています。安全を確保するには、8.2.3、8.0.17、7.0.28、6.0.27、5.0.32、または4.4.30へ更新する必要があります。
すぐに更新できない場合、専門家は一時的な防御策として、データベースのzlib圧縮設定を無効化し、攻撃者をブロックすることを推奨しています。
アプリケーションセキュリティソリューションの提供企業で、マサチューセッツ州バーリントンに拠点を置くBlack Duckの主任サイバーセキュリティエンジニアであるBen Ronallo氏もこの問題についてコメントし、次のように述べました。「脅威アクターは巧妙だった。多くの企業で従業員が休暇を取り、対応が鈍くなりがちなホリデー期間を狙って攻撃した。現時点ではUbisoftが最も注目度の高い被害者のようだ。」
Ronallo氏はまた、セキュリティチームがこの問題を回避するための手順として、次の点も共有しました。
- 脆弱なバージョンのMongoDBインスタンスが接続された、インターネットに面したシステムが存在するか確認する。
- そのようなシステムが見つかった場合、潜在的な侵害の有無を特定し被害を封じ込めるため、直ちにインシデント対応を開始する。
- MongoDBのログを分析し侵害の兆候（IoC）を確認するために活用できるオープンソースツールがある。
- 脆弱なバージョンは、MongoDBが提供する公式の修正を用いて直ちにパッチを適用する。
翻訳元: https://hackread.com/mongodb-exploit-ubisoft-rainbow-six-siege-players/
