Rủi ro rò rỉ dữ liệu từ hai lỗ hổng SQL trên SuiteCRM

[WhiteHat Team]

SuiteCRM là một nền tảng quản lý quan hệ khách hàng (CRM) mã nguồn mở, phát triển dựa trên SugarCRM, cung cấp đầy đủ các tính năng quản lý khách hàng, bán hàng, marketing và hỗ trợ dịch vụ. Nhờ khả năng tùy biến cao, chi phí triển khai hợp lý và cộng đồng hỗ trợ sôi nổi, SuiteCRM được nhiều doanh nghiệp vừa và nhỏ tại Việt Nam sử dụng, đặc biệt trong các ngành thương mại, dịch vụ và công nghệ thông tin, giúp quản lý dữ liệu khách hàng và quy trình bán hàng hiệu quả.

Mới đây, SuiteCRM vừa phát hiện và phát hành cảnh báo khẩn sau khi hai lỗ hổng tiêm truy vấn SQL nghiêm trọng được xác định trong các phiên bản cũ. Các lỗ hổng này có thể cho phép kẻ tấn công đã xác thực chiết xuất dữ liệu nhạy cảm từ cơ sở dữ liệu.

Lỗ hổng đầu tiên, CVE‑2025‑64492, được đánh giá mức nghiêm trọng cao với điểm CVSS 8.8. Đây là dạng time‑based blind SQL injection, cho phép kẻ tấn công đo lường thời gian phản hồi để suy luận dữ liệu từ cơ sở dữ liệu. Nếu khai thác thành công, đối tượng có thể liệt kê cơ sở dữ liệu, bảng, cột và rút trích các thông tin nhạy cảm như mật khẩu đã băm và dữ liệu khách hàng. Lỗ hổng này đòi hỏi tài khoản đã xác thực, nên nguy cơ thường xuất phát từ các tài khoản bị xâm nhập hoặc nhân viên nội bộ độc hại.

Lỗ hổng thứ hai, CVE‑2025‑64493, nằm trong thao tác appMetadata của API GraphQL. Vấn đề này xuất hiện trên các phiên bản từ 8.6.0 đến 8.8.0 và không yêu cầu quyền quản trị, do đó bất kỳ người dùng đăng nhập nào cũng có thể bị lợi dụng để rút trích dữ liệu. Tương tự lỗ hổng đầu tiên, CVE‑2025‑64493 là một SQL injection kiểu mù dựa trên thời gian. Cả hai lỗ hổng đã được vá trong phiên bản 8.9.1 và các quản trị viên được khuyến nghị nâng cấp ngay lập tức.

Các chuyên gia khuyến nghị, để bảo mật hệ thống tốt hơn, các tổ chức nên bật xác thực đa yếu tố, giới hạn truy cập API GraphQL chỉ qua mạng nội bộ hoặc VPN, áp dụng tường lửa ứng dụng web để chặn các chuỗi truy vấn khả nghi và tăng cường giám sát nhật ký truy vấn cũng như đăng nhập để phát hiện hành vi bất thường. Đồng thời, rà soát và thu hồi các tài khoản không còn cần thiết sẽ giúp giảm thiểu rủi ro khai thác nội bộ.

Tin tặc đang nhắm vào các nền tảng CRM vì chúng lưu trữ lượng lớn dữ liệu khách hàng và thông tin kinh doanh, tạo ra cơ hội hấp dẫn để khai thác nếu hệ thống không được bảo vệ. Gần đây, Salesforce - một trong những nền tảng CRM phổ biến nhất, cũng bị tấn công quy mô lớn, cho thấy mức rủi ro tiềm ẩn mà mọi tổ chức sử dụng CRM đều phải đối mặt.

SuiteCRM đã phát hành bản vá cho hai lỗ hổng SQL injection nghiêm trọng và khuyến nghị tất cả người dùng nâng cấp lên phiên bản 8.9.1 ngay lập tức để tránh rủi ro không đáng có.

Theo Security Online​