🍃 Новогодний сюрприз от MongoDB (без регистрации и СМС) Пока мы тут планируем оливье и заморозку релизов, разработчики MongoDB подложили нечто под ёлку. Раскрыты детали критической уязвимости CVE-2025-14847 (CVSS 8.7), которая делает вашу приватную память общественным достоянием. Суть проблемы в реализации сжатия Zlib... если отправить серверу специально сформированный пакет с некорректной длиной в заголовке, Монга не падает, а возвращает клиенту кусок неинициализированной памяти. И для этого не нужна аутентификация. Вообще. Любой аноним из интернета может дергать вашу базу и получать в ответ рандомные куски оперативки. А там, как в лотерее... могут быть указатели, служебные структуры, а могут быть и сессионные токены, пароли или куски реальных данных других юзеров. Дыра присутствует в версиях от древней 3.6 вплоть до новейшей 8.2.3. Если у вас стоит MongoDB веток 4.0, 4.2, 4.4, 5.0, 6.0, 7.0 или 8.0, то вы в зоне риска. Патчи уже выкатили (версии 8.0.17, 7.0.28, 6.0.27 и т.д.), но обновлять кластер базы данных 29 декабря - это опасная примета к тому, что Новый год вы встретите на работе. Поэтому есть хорошая новость для ленивых и осторожных. Дыру можно закрыть без обновления, просто отключив проблемный компрессор. Достаточно перезапустить mongod с параметром, исключающим Zlib из списка сжатия, оставив только snappy или zstd. Это тот редкий случай, когда костыль в конфиге реально спасает от взлома. Так что, если не хотите обновляться, то просто вырубите Zlib, он все равно тормозной 🤙 Типичный 🎄 Сисадмин