Lỗ hổng bảo mật trong PgAdmin4 đe dọa hàng loạt hệ thống cơ sở dữ liệu toàn cầu

[WhiteHat Team]

Một lỗ hổng bảo mật vừa được công bố trong PgAdmin4 (công cụ quản trị cơ sở dữ liệu PostgreSQL phổ biến nhất hiện nay) đang khiến hàng triệu hệ thống cơ sở dữ liệu trên toàn thế giới đối mặt với nguy cơ bị tấn công từ xa, mất quyền kiểm soát và rò rỉ dữ liệu nhạy cảm.

​

Lỗ hổng này được theo dõi với mã số CVE-2025-9636, được đánh giá ở mức nguy hiểm cao (High severity) và ảnh hưởng đến tất cả các phiên bản PgAdmin từ trước đến phiên bản 9.7. Lỗi đã được vá trong bản 9.8, tuy nhiên nếu hệ thống chưa được cập nhật, rủi ro mất dữ liệu, bị chiếm quyền truy cập là rất lớn.

PgAdmin4 là một công cụ đồ họa mã nguồn mở được dùng rộng rãi để quản lý cơ sở dữ liệu PostgreSQL được sử dụng bởi cả các công ty startup lẫn tập đoàn lớn, chính phủ và tổ chức tài chính. Người dùng thường sử dụng PgAdmin để:

• Quản lý tài khoản truy cập,
• Chạy truy vấn (query),
• Thực hiện sao lưu và phục hồi dữ liệu,
• Thay đổi cấu hình hệ thống,…

Nói cách khác, nếu tin tặc chiếm quyền truy cập vào PgAdmin4, tức là họ đang kiểm soát trái phép toàn bộ hệ thống dữ liệu phía sau.

Lỗi này nằm trong quá trình xác thực OAuth (cơ chế đăng nhập phổ biến sử dụng token), cụ thể là việc xử lý sai Cross-Origin Opener Policy (COOP) - một chính sách bảo mật giúp trình duyệt ngăn website này truy cập vào dữ liệu của website khác.

Kẻ tấn công có thể:

• Dụ người dùng click vào một đường link độc (hoặc truy cập một trang web giả mạo),
• Lợi dụng lỗ hổng để bypass cơ chế bảo vệ trình duyệt,
• Chiếm đoạt phiên đăng nhập (session hijack),
• Lấy cắp token xác thực, mật khẩu, thông tin cơ sở dữ liệu và thậm chí chiếm quyền admin.

Đối tượng nào có thể bị ảnh hưởng?

• Tất cả người dùng đang sử dụng PgAdmin4 từ phiên bản 9.7 trở xuống, đặc biệt là các hệ thống mở ra internet, chưa được giới hạn qua VPN hoặc IP đáng tin cậy.
• Các tổ chức, doanh nghiệp sử dụng PostgreSQL để lưu trữ dữ liệu nhạy cảm như thông tin khách hàng, tài chính, sản phẩm, dịch vụ nội bộ.
• Các đội ngũ kỹ thuật chưa thường xuyên cập nhật phần mềm hoặc chưa theo dõi sát các cảnh báo bảo mật.

Nếu hệ thống bị tấn công thông qua lỗ hổng này, kẻ xấu có thể:

1. Đánh cắp dữ liệu: Bao gồm thông tin người dùng, mật khẩu, cơ sở dữ liệu quan trọng.
2. Thực hiện truy vấn trái phép: Có thể thay đổi, xóa hoặc làm sai lệch dữ liệu.
3. Chiếm quyền quản trị: Tạo tài khoản quản trị giả, cài đặt cửa hậu (backdoor) để xâm nhập dài hạn.
4. Làm gián đoạn hoạt động hệ thống: Mặc dù mức độ ảnh hưởng tới tính sẵn sàng không quá cao, nhưng gián đoạn truy cập PgAdmin có thể khiến đội ngũ kỹ thuật mất quyền điều khiển tạm thời.
5. Tạo điều kiện cho tấn công chuỗi cung ứng: Nếu máy chủ bị chiếm quyền, các dịch vụ khác kết nối tới có thể bị lây lan tấn công.

Phạm vi và mức độ ảnh hưởng:

• Lỗ hổng này không tự động khai thác được, nó cần người dùng bị dụ click vào đường dẫn độc hại hoặc truy cập trang web có chứa mã tấn công. Nhưng điều đó không làm nó bớt nguy hiểm, vì phương thức phishing tinh vi ngày càng phổ biến.
• Mức độ ảnh hưởng rộng do PgAdmin là công cụ phổ biến và nhiều hệ thống để mặc định hoặc mở ra internet.
• Đặc biệt nguy hiểm với môi trường doanh nghiệp, tổ chức tài chính, chính phủ, cơ quan nghiên cứu.

Để bảo vệ hệ thống khỏi CVE-2025-9636, các chuyên gia khuyến cáo:

1. Cập nhật ngay lập tức PgAdmin4 lên phiên bản 9.8 hoặc mới hơn.
2. Hủy tất cả phiên đăng nhập hiện tại và reset token xác thực để đảm bảo an toàn.
3. Thay đổi toàn bộ mật khẩu & khóa API đã lưu trên PgAdmin4 nếu nghi ngờ bị rò rỉ.
4. Rà soát nhật ký truy cập để phát hiện dấu hiệu bất thường, như đăng nhập từ địa chỉ IP lạ, yêu cầu xác thực bất thường.
5. Giới hạn quyền truy cập PgAdmin4, chỉ cho phép từ các địa chỉ IP nội bộ hoặc thông qua VPN.
6. Tăng cường đào tạo người dùng về nhận diện link lạ, email giả mạo và kỹ năng cơ bản để tránh bị phishing.

Trong bối cảnh các nền tảng mã nguồn mở ngày càng trở thành mục tiêu tấn công, lỗ hổng trong PgAdmin4 là một lời nhắc nhở mạnh mẽ, việc cập nhật phần mềm và duy trì hạ tầng an toàn không thể bị xem nhẹ. Ngay cả một công cụ quản lý đơn giản cũng có thể trở thành cửa ngõ cho kẻ tấn công chiếm quyền điều khiển toàn bộ cơ sở dữ liệu nếu không được bảo vệ đúng cách.

WhiteHat​