|
漏洞概述 |
|||
|
漏洞名称 |
MongoDB存在身份验证不当漏洞（CVE-2025-3085） |
||
|
安恒CERT评级 |
2级 |
CVSS3.1评分 |
8.1 |
|
CVE编号 |
CVE-2025-3085 |
CNVD编号 |
未分配 |
|
CNNVD编号 |
未分配 |
安恒CERT编号 |
DM-202504-000093 |
|
POC情况 |
未发现 |
EXP情况 |
未发现 |
|
在野利用 |
未发现 |
研究情况 |
分析中 |
|
危害描述 |
MongoDB在Linux上运行启用了TLS和CRL吊销状态检查时，无法检查对端证书链中中间证书的吊销状态。在MONGODB-X509（默认未启用）的情况下，这可能导致身份验证不当，此问题可能影响集群内部认证。 |
||
该产品主要使用客户行业分布广泛，漏洞危害性高，建议客户尽快做好自查及防护。
漏洞信息
MongoDB是一个开源的NoSQL文档数据库，由MongoDB Inc.（原 10gen）开发并维护。它采用灵活的JSON-like（BSON）文档模型，支持高性能、高可用性和水平扩展。MONGODB-X509是MongoDB的一种身份验证机制，它使用X.509证书对客户端或集群成员进行身份验证。
漏洞描述
漏洞危害等级：高危
漏洞类型：身份验证不当
影响范围
5.0 <= MongoDB Server < 5.0.31
6.0 <= MongoDB Server < 6.0.20
7.0 <= MongoDB Server < 7.0.16
8.0 <= MongoDB Server < 8.0.4
CVSS向量
访问途径（AV）：网络
攻击复杂度（AC）：高
所需权限（PR）：无
用户交互（UI）：不需要用户交互
影响范围 （S）：不变
机密性影响 （C）：高
完整性影响 （l）：高
可用性影响 （A）：高
官方修复方案：
官方已发布修复方案，受影响的用户建议及时更新至对应安全版本。
临时缓解方案:
若用户无法立即升级，在不影响业务的情况下可以禁用CRL检查，确保allowInvalidCertificates:false。
参考资料
https://jira.mongodb.org/browse/SERVER-95445
技术支持
如有漏洞相关需求支持请联系400-6059-110获取相关能力支撑。
原文始发于微信公众号（安恒信息CERT）：【风险通告】MongoDB存在身份验证不当漏洞（CVE-2025-3085）
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论