漏洞通报：MongoDB 严重安全漏洞 (CVE-2025-14847)
一个编号为 CVE-2025-14847 的严重安全漏洞已被披露。该漏洞允许攻击者在无需身份验证的情况下，从数据库服务器中提取未初始化的堆内存（Heap Memory）。
该缺陷存在于 MongoDB 的 zlib 压缩实现中，影响该数据库平台的多个版本。它使得针对 MongoDB 服务器 zlib 实现的客户端利用成为可能，从而可能暴露存储在未初始化堆内存中的敏感数据。
该缺陷之所以特别危险，是因为攻击者无需向服务器进行身份验证即可利用它，这大大降低了恶意攻击者的攻击门槛。暴露未初始化的堆内存可能导致信息泄露，潜在地泄露驻留在服务器内存中的敏感数据库内容、加密密钥或其他机密数据。
受影响的版本 该漏洞影响广泛，跨越了 MongoDB 的多个主要版本：
修复建议
1. 立即升级（推荐） MongoDB 强烈建议升级到以下已修复版本：
8.2.3
8.0.17
7.0.28
6.0.27
5.0.32
4.4.30
2. 临时缓解措施 对于无法立即升级的组织，MongoDB 建议采取以下临时方案：
禁用 zlib 压缩： 配置 mongod 或 mongos，在 networkMessageCompressors 或 net.compression.compressors 设置中移除 zlib。
替代方案： 使用安全的替代算法（如 Snappy 或 Zstd），或者彻底关闭压缩功能。
建议安全团队应立即优先修补 MongoDB 安装，以防止潜在的数据泄露。
