BDU:2025-16225 (CVE-2025-14847) — уязвимость реализации протокола Zlib системы управления базами данных MongoDB
По данным БДУ ФСТЭК России, по состоянию на 13.03.2026.
Уязвимость реализации протокола Zlib системы управления базами данных MongoDB связана с неправильной обработкой несоответствия параметра длины. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию
Кого касается и что делать
- Уязвимое ПО: РЕД ОС (ООО «Ред Софт») — версии 8.0; MongoDB (MongoDB) — версии от 7.0 до 7.0.28, от 8.0 до 8.0.17, от 8.2 до 8.2.3, от 6.0 до 6.0.27, от 5.0 до 5.0.32, от 4.4 до 4.4.30; Mailion (ООО «Новые Облачные Технологии») — версии до 2.3.3
- Что делать: уязвимость устранена производителем — применить исправления: jira.mongodb.org, redos.red-soft.ru
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2025-16225 · CVE-2025-14847 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 7.5; CVSS 4.0 — 8.7; CVSS 2.0 — 7.8) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность |
| Вектор CVSS 4.0 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность |
| Наименование ФСТЭК | Уязвимость реализации протокола Zlib системы управления базами данных MongoDB, позволяющая нарушителю раскрыть защищаемую информацию |
| Даты | Опубликована: 24.12.2025 · Обновлена ФСТЭК: 13.03.2026 · Выявлена: 19.12.2025 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-130 — неправильная обработка несоответствия параметра длины |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование структурами данных |
Уязвимое ПО
- РЕД ОС (ООО «Ред Софт») — 8.0 · операционная система
- MongoDB (MongoDB) — версии от 7.0 до 7.0.28, от 8.0 до 8.0.17, от 8.2 до 8.2.3, от 6.0 до 6.0.27, от 5.0 до 5.0.32, от 4.4 до 4.4.30 · СУБД, ПО для разработки ИИ
- Mailion (ООО «Новые Облачные Технологии») — до 2.3.3 · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление. Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Если обновиться нельзя
— ограничение возможности использования протокола Zlib;
— использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому программному обеспечению;
— ограничение доступа к уязвимому программному обеспечению, используя схему доступа по «белым спискам»;
— использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;
— ограничение доступа к уязвимому программному обеспечению из внешних сетей (Интернет).
Использование рекомендаций производителя:
jira.mongodb.org/browse/SERVER-115508
- Для ООО "Новые Облачные Технологии": Обновление программного обеспечения до версии 2.3.5 или выше
- Для Ред ОС: redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-m…
