MongoBleed (CVE-2025-14847): Kebocoran Memori di MongoDB

MongoBleed adalah nama populer untuk CVE-2025-14847, celah di MongoDB Server yang membuat server membocorkan isi memori heap kepada klien tanpa autentikasi. Celah ini diumumkan 19 Desember 2025, masuk CISA KEV pada 29 Desember 2025, dan menurut Akamai exploit publiknya muncul dalam hitungan hari. Per 29 Oktober 2026, server MongoDB yang belum ditambal atau terbuka ke internet tetap berisiko tinggi.

Ringkasan MongoBleed CVE-2025-14847

• CVE: CVE-2025-14847, dijuluki MongoBleed.
• Produk terdampak: MongoDB Server 8.2.0-8.2.2, 8.0.0-8.0.16, 7.0.0-7.0.27, 6.0.0-6.0.26, 5.0.0-5.0.31, dan 4.4.0-4.4.29. Seluruh rilis 4.2, 4.0, dan 3.6 juga terdampak dan sudah tidak didukung, sehingga tidak ada tambalan untuknya.
• Jenis kerentanan: pembacaan memori heap yang belum diinisialisasi sebelum autentikasi (CWE-130), akibat ketidakcocokan field panjang pada pesan protokol terkompresi zlib.
• Skor CVSS: 8,7 (CVSS 4.0) dan 7,5 (CVSS 3.1), keduanya diberikan MongoDB sebagai CNA.
• Status eksploitasi: eksploitasi nyata terkonfirmasi. Masuk CISA KEV pada 29 Desember 2025, tenggat 19 Januari 2026.
• Versi perbaikan: 8.2.3, 8.0.17, 7.0.28, 6.0.27, 5.0.32, dan 4.4.30.

Apa yang Terjadi: Kebocoran Memori dari Server Basis Data

MongoDB mendukung kompresi zlib pada protokol komunikasinya, fitur yang menurut Akamai aktif secara bawaan. Kelemahan muncul ketika server memproses pesan terkompresi yang field panjangnya tidak konsisten. Server kemudian dapat membaca dan mengembalikan potongan memori heap yang belum diinisialisasi. Menurut analisis Akamai, penanganan kesalahan server ikut memperburuk keadaan karena respons error dapat memuat isi memori yang bocor. Penyerang tidak perlu login.

Isi memori yang bocor bergantung pada apa yang kebetulan berada di heap. Akamai menyebut potongan itu bisa berisi fragmen kata sandi dalam bentuk teks biasa, kredensial, kunci API, atau data sensitif lain yang sebelumnya diproses server. Nama "bleed" mengingatkan pada Heartbleed di OpenSSL, yang juga membocorkan memori. Detail teknis eksploitasi sengaja tidak kami bahas.

Seberapa Luas Paparannya

Menurut Akamai, Shodan melaporkan lebih dari 213.000 instans MongoDB yang terbuka ke internet, dan Censys lebih dari 87.000. Perbedaan angka berasal dari metodologi pemindaian masing-masing, dan tidak semua instans itu pasti rentan. Telemetri Akamai juga menunjukkan komunikasi MongoDB terlihat di sekitar 62 persen jaringan perusahaan, sehingga basis data ini sangat umum. Sebagai panduan umum, yang juga berlaku bagi tim pengembang di Indonesia: port basis data yang dibiarkan terbuka ke internet adalah pola salah konfigurasi klasik yang perlu diperiksa lebih dulu. Pelajari pola itu di security misconfiguration.

Cara Memeriksa Paparan MongoBleed di Server Anda

1. Cek versi. Jalankan perintah versi pada server atau periksa paket yang terpasang, lalu bandingkan dengan daftar versi terdampak di atas.
2. Cek apakah port terbuka. Port 27017 seharusnya tidak dapat dijangkau dari internet. Periksa aturan firewall dan security group cloud Anda, serta instans yang sengaja dibuka untuk "pengujian" lalu terlupa.
3. Cek versi EOL. Jika Anda masih memakai 3.6, 4.0, atau 4.2, tidak ada tambalan; migrasi adalah satu-satunya perbaikan nyata.
4. Cek aplikasi yang menyertakan MongoDB. Sebagian produk dan image kontainer membawa MongoDB sendiri; periksa versinya juga.

Mitigasi: Tambal, Batasi, dan Rotasi Rahasia

• Upgrade ke versi perbaikan yang sesuai dengan cabang Anda. Ini satu-satunya solusi lengkap.
• Batasi jaringan. Blokir akses masuk ke TCP 27017 dari internet, dan izinkan hanya dari alamat tepercaya seperti server aplikasi. Gunakan firewall atau segmentasi jaringan.
• Solusi sementara. Bila belum dapat upgrade, MongoDB menyediakan petunjuk untuk menonaktifkan kompresi zlib pada permintaan (lihat tiket SERVER-115508 di pelacak isu MongoDB). Ini hanya jembatan, bukan pengganti tambalan.
• Anggap rahasia mungkin terpapar. Untuk server yang pernah dapat dijangkau dari internet dalam keadaan rentan, putar ulang kredensial basis data, kunci API, dan token sesi yang mungkin pernah lewat di memori server.

Deteksi dan Pemantauan

Kebocoran memori tidak mengubah data, sehingga deteksi lebih banyak bergantung pada log koneksi dan jaringan. Tinjau log koneksi ke port MongoDB untuk alamat asing, serta lonjakan koneksi singkat dari satu sumber. Setelah itu, perhatikan penggunaan kredensial yang mencurigakan di sistem lain karena kebocoran memori sering menjadi langkah awal. Letakkan pemantauan ini di SIEM bila tersedia, dan terapkan prinsip least privilege untuk akun basis data.

Pelajaran bagi Tim Pengembang dan Operasi

Kasus ini memperlihatkan tiga kebiasaan yang mengurangi dampak celah basis data berikutnya. Pertama, jangan pernah mengekspos basis data langsung ke internet; letakkan di jaringan privat dan akses lewat server aplikasi atau tunnel yang terautentikasi. Kedua, simpan rahasia di tempat yang bisa dirotasi dengan cepat, seperti secret manager, sehingga rotasi kredensial setelah insiden bukan pekerjaan berhari-hari. Ketiga, lacak umur dukungan setiap komponen: tiga cabang MongoDB yang sudah EOL tidak akan pernah menerima tambalan untuk celah ini, dan itu keputusan migrasi yang sebaiknya dibuat sebelum insiden, bukan sesudahnya.

Perhatikan pula bahwa celah ini terjadi sebelum autentikasi. Mewajibkan login, TLS, dan hak akses minimal tetap penting, tetapi tidak menghalangi bug pada tahap penguraian pesan. Karena itu pertahanan jaringan menjadi lapisan yang menentukan. Pembahasan lebih luas tentang API dan layanan yang terbuka ada di keamanan API.

Linimasa Singkat

• 19 Desember 2025: CVE-2025-14847 diumumkan dan dipublikasikan di NVD.
• Beberapa hari kemudian: exploit publik muncul di GitHub, menurut Akamai.
• 29 Desember 2025: CISA menambahkannya ke KEV.
• 30 Desember 2025: Akamai menerbitkan analisis.
• 19 Januari 2026: tenggat KEV untuk lembaga federal AS.

Pertanyaan yang Sering Diajukan

Apakah MongoDB di balik firewall tetap berisiko?

Risikonya jauh lebih kecil bila hanya server tepercaya yang dapat menjangkaunya, tetapi aplikasi yang sudah dikompromikan di jaringan internal tetap bisa memanfaatkannya. Tambal tetap diperlukan.

Apakah MongoDB Atlas terdampak?

Menurut pernyataan MongoDB di forum komunitasnya pada 24 Desember 2025, seluruh deployment Atlas sudah ditambal. Risiko utama ada pada server yang Anda kelola sendiri.

Bagaimana membaca skor 8,7 dan 7,5?

Keduanya berasal dari standar CVSS yang berbeda (4.0 dan 3.1) untuk celah yang sama. Panduannya ada di level kerentanan dan CVSS.

Kesimpulan

MongoBleed mengingatkan bahwa basis data adalah aset paling berharga yang tidak boleh terbuka ke internet. Tambal, tutup port 27017 dari luar, dan rotasi rahasia yang mungkin bocor. Jika Anda ingin memverifikasi paparan aset Anda lewat penilaian yang sah, kunjungi layanan Linuxhackingid.