[2025-01-02] MongoBleed 취약점

 

🔗News Link:

https://m.boannews.com/html/detail.html?mtype=1&idx=141194

유비소프트, 사상 최악 보안참사... ‘레인보우 식스 시즈’ 통제권 일시 상실

 

2025년 12월 28일, 프랑스에 본사를 둔 세계적 게임 개발사 유비소프트의 대표작 ‘레인보우 식스 시즈’  의 서버 통제권이 해커 그룹에 의해 일시적으로 장악되었다.

공격 주체는 ‘퍼스트 그룹’(First Group)이란 이름의 해커 집단으로, 게임 내 관리자 권한을 얻어 시스템 공지창을 장악하고 운영진을 조롱하는 문구를 띄운 동시에, 약 3400억달러(약 440조원) 규모에 달하는 천문학적 규모의 유료 재화와 희귀 아이템을 세계 사용자에게 무차별적으로 배포한 사건이다.

 

이번 공격의 배후에는 최근 공개된 몽고DB(MongoDB)의 치명적 취약점 ‘몽고블리드’(MongoBleed)가 자리 잡고 있다. 미국 사이버보안 및 인프라 보안국(CISA)은 해당 취약점에 대한 경고를 발령하고 즉각적인 대응을 당부했고, 지난 29일 몽고DB에서 발견된 취약점 ‘CVE-2025-14847’을 KEV(Known Exploited Vulnerabilities)에 추가했다.

 

보안 전문 그룹 브이엑스 언더그라운드(vx-underground)는 이번 공격을 통해 유비소프트의 30년 치 소스 코드와 개발 키트(SDK) 약 900GB 분량이 유출됐을 가능성이 높다고 분석했다.

 

몽고DB는 전 세계적으로 사용되는 오픈소스 기반 관리형 데이터베이스 관리 시스템(DBMS)이다. DB엔진(DB-Engines)에 따르면, 몽고DB는 2025년 12월 기준 전체 DBMS 순위에서 5위를 차지하고 있다. 글로벌 보안 인텔리전스 플랫폼 ‘센시스(Censys)’는 지난 27일 전 세계 약 8만 7,000대가 넘는 시스템이 CVE-2025-14847 취약점에 노출돼 있다고 발표했다. 클라우드 보안 기업 ‘위즈(Wiz)’도 전체 클라우드 환경의 42%가 이 취약점을 지닌 몽고DB 버전을 이용 중이라고 밝혔다.

 

 

 

⚠️ 몽고블리드(MongoBleed) 취약점이란?

‘몽고블리드(MongoBleed)’로 불리는 CVE-2025-14847은 몽고DB 서버에서 발견된 메모리 처리 취약점이다. 인증되지 않은 공격자가 특수하게 조작된 요청을 보내 데이터베이스(DB) 인증 정보나 DB에 담긴 민감 데이터를 탈취하는 데 악용될 수 있다.

과거 큰 파장을 일으켰던 '하트블리드(Heartbleed)'와 유사한 방식으로 메모리 정보가 유출된다는 의미에서 몽고블리드라는 이름이 붙었다.

 

몽고DB는 네트워크를 통해 데이터를 주고받을 때 효율성을 위해 zlib이라는 알고리즘으로 데이터를 압축해서 보낼 수 있습니다. 문제는 서버가 압축된 데이터를 받아서 다시 풀 때(압축 해제), 실제로 풀린 데이터의 크기가 아니라 미리 잡아놓은 메모리 공간(버퍼) 전체를 그대로 돌려준다는 점이다.

 

Step 1) 조작된 이중 레이어 패킷 전송 (OP_COMPRESSED 및 BSON 조작)

공격자는 서버에 아주 작은 양의 데이터를 zlib으로 압축해서 보내는데, 이때 패킷 헤더에는 "이 데이터는 압축을 풀면 1,000바이트짜리다"라고 거짓 정보를 적어 보낸다.

 

몽고DB는 통신 시 OP_COMPRESSED라는 메시지 구조를 사용하는데, 공격자는 이 헤더 내의 uncompressedSize 필드를 조작한다. 그리고 그 안에는 실제 데이터인 BSON이 들어 있는데, 공격자는 이 데이터(BSON)의 헤더에 있는 길이 정보도 조작한다. BSON 객체의 document length(맨 앞 4바이트)를 uncompressedSize 와 마찬가지로 실제 데이터 크기보다 훨씬 크게 설정한다.

 

필드명	크기	설명
header	16 bytes	표준 몽고DB 메시지 헤더
originalOpcode	4 bytes	압축 전의 원래 명령 코드 (예: OP_MSG)
uncompressedSize	4 bytes	압축을 풀었을 때의 예상 크기
compressorId	1 byte	압축 알고리즘 ID (zlib = 1)
compressedMessage	변동	실제 zlib으로 압축된 데이터

 

Step 2) 메모리 할당

서버는 헤더 정보만 믿고 "아, 1,000바이트 데이터가 오는구나"라고 생각하며 메모리에 1,000바이트 크기의 빈 공간(힙 버퍼)을 만든다. 이때 메모리에는 이전에 다른 사용자가 사용했던 데이터가 남아있을 수 있다.

 

Step 3) 부실한 데이터 채우기

서버가 압축을 풀면 실제 데이터는 10바이트뿐이므로, 생성된 1,000바이트 버퍼 중 앞부분 10바이트만 채워진다. 나머지 990바이트에는 이전에 다른 작업에서 사용하다가 남은 데이터들이 그대로 들어있다.

 

Step 4) 메모리 유출(Bleed)

몽고DB의 취약한 코드(message_compressor_zlib.cpp)는 "실제로 풀린 10바이트만 보내라"고 명령하는 대신, "방금 만든 1,000바이트 버퍼 전체를 사용자에게 보내라"고 처리한다.

// message_compressor_zlib.cpp 내부의 압축 해제 함수 로직
// (이해를 돕기 위해 간략화된 C++ 코드)

void ZlibCompressor::uncompress(const char* input, size_t inputLen, char* output, size_t expectedUncompressedLen) {
    z_stream strm;
    // ... zlib 초기화 ...

    strm.next_in = reinterpret_cast<Bytef*>(const_cast<char*>(input));
    strm.avail_in = inputLen;
    strm.next_out = reinterpret_cast<Bytef*>(output);
    
    // 취약점 지점: expectedUncompressedLen(헤더에서 온 값)만큼 출력을 허용함
    strm.avail_out = expectedUncompressedLen; 

    int ret = inflate(&strm, Z_FINISH);

    if (ret != Z_STREAM_END) {
        // 에러 처리...
    }

    // [치명적 결함] 
    // 실제로 압축 해제된 데이터 양(strm.total_out)을 확인하지 않고, 
    // 사용자가 요청한 expectedUncompressedLen 전체를 유효한 응답으로 간주하여 반환함.
}

 

Step 5) 정보 탈취

공격자는 자신이 보낸 10바이트 데이터와 함께, 서버 메모리에 남아있던 다른 사용자의 비밀번호, 세션 토큰, API 키, 데이터베이스 쿼리 내용 등이 담긴 990바이트의 정보를 고스란히 받게 된다.

 

이처럼 {"action":"ping"}이라는 짧은 데이터 뒤에, 이전에 로그인했던 다른 관리자의 비밀번호 해시 값이나 세션 ID 등이 유출될 수 있다.

 

 

🪢 몽고블리드(MongoBleed) PoC 

https://github.com/joe-desimone/mongobleed

GitHub - joe-desimone/mongobleed

 

PoC 코드는 위 github에서 확인할 수 있다. 주요 코드를 살펴보면,

 

1. BSON 길이 조작 (send_probe 함수)

# 실제 데이터는 아주 작지만, 전체 길이(doc_len)를 아주 크게 속임
content = b'\x10a\x00\x01\x00\x00\x00'  # int32 a=1 (실제론 몇 바이트 안 됨)
bson = struct.pack('<i', doc_len) + content # 하지만 doc_len에는 1000 같은 큰 값을 넣음

 

2. 몽고블리드 트리거 (OP_COMPRESSED)

# OP_COMPRESSED 헤더 구성
payload = struct.pack('<I', 2013)  # original opcode (OP_MSG)
payload += struct.pack('<i', buffer_size)  # [핵심] 거짓된 압축 해제 크기 입력
payload += struct.pack('B', 2)  # zlib 압축 방식 지정
payload += compressed # 압축된 데이터 추가

 

3. 에러 메시지를 이용한 탈취 (extract_leaks 함수)

# 에러 메시지 예시: "field name '관리자비밀번호123' is invalid"
for match in re.finditer(rb"field name '([^']*)'", raw):
    data = match.group(1)
    leaks.append(data)

 

=> 몽고블리드 취약점은 코드에서도 알 수 있듯이, 단순히 메모리를 돌려받는 것에 그치지 않고, BSON 파싱 에러를 유도한다. 서버가 메모리를 읽다가 "어? 이 데이터는 이름이 이상한데?"라고 에러 메시지에 메모리 데이터를 포함하게 만드는 방식이다.

 

🔰 몽고블리드(MongoBleed) vs 하트블리드(HeartBleed)

구분	하트블리드 (Heartbleed)	몽고블리드 (MongoBleed)
식별 번호	CVE-2014-0160	CVE-2025-14847
공격 대상	OpenSSL (웹 서버 암호화 라이브러리)	MongoDB (데이터베이스 시스템)
발생 지점	전송 계층 (TLS/SSL 하트비트 확장)	애플리케이션 계층 (zlib 압축 로직)
조작 방식	단순한 페이로드 길이 값 조작	이중 조작 (압축 헤더 + BSON 길이)
유출 데이터	서버 개인키, 쿠키, 사용자 아이디/비번	DB 관리자 세션, 쿼리문, 소스코드 키
탐지 난이도	매우 낮음 (비정상 패킷 탐지 쉬움)	높음 (정상적인 압축 통신으로 위장)