PostgreSQL vá 52 lỗ hổng, bao gồm lỗi tồn tại 22 năm cho phép thực thi mã từ xa

Nhóm phát triển PostgreSQL vừa công bố bản cập nhật định kỳ nhằm khắc phục 52 lỗ hổng bảo mật, trong đó đáng chú ý nhất là lỗi CVE-2026-6460 với điểm CVSS 8.8. Đây là một lỗ hổng dạng type confusion (nhầm lẫn kiểu dữ liệu) cho phép người dùng có quyền tạo đối tượng trong cơ sở dữ liệu có thể thực thi mã trên server với quyền của người dùng chạy tiến trình PostgreSQL.

Theo các chuyên gia, lỗ hổng này có nguồn gốc từ năm 2004, khi tính năng thay đổi kiểu dữ liệu của cột được thêm vào PostgreSQL. Lỗi xảy ra khi server đọc nhầm giá trị cũ của một trường dữ liệu theo kiểu dữ liệu mới, dẫn đến nguy cơ bị khai thác. Nhà nghiên cứu bảo mật Mehmet Ince đã công bố tài liệu kỹ thuật chứng minh khả năng khai thác lỗi này trên phiên bản 18.6, đồng thời xác nhận đã chia sẻ bằng chứng với các nhà cung cấp dịch vụ cloud lớn như AWS, Azure, Google Cloud, Supabase và Databricks.

Các phiên bản bị ảnh hưởng bao gồm tất cả các bản phát hành trước 18.7, 17.12, 16.16, 15.20 và 14.25. Hiện tại, chưa có báo cáo nào về việc lỗ hổng này bị khai thác trong thực tế.

Khuyến nghị cho quản trị viên:

• Cập nhật ngay lập tức: Nâng cấp server lên các phiên bản mới nhất (18.7, 17.12, 16.16, 15.20 hoặc 14.25).
• Biên dịch lại C-language extensions: Mọi extension viết bằng ngôn ngữ C cần được biên dịch lại hoặc cập nhật để đảm bảo tính tương thích và an toàn.
• Cập nhật công cụ client: Đảm bảo các công cụ như pg_dump, pg_restore, reindexdb và vacuumdb trên các máy trạm cũng được cập nhật lên phiên bản mới.
• Lưu ý về PostgreSQL 14: Phiên bản 14.25 là bản cập nhật cuối cùng cho dòng 14, đánh dấu việc kết thúc vòng đời (end-of-life) của phiên bản này.
• Sao lưu dữ liệu: Sau khi cập nhật, quản trị viên nên thực hiện reindex và tạo một bản sao lưu full backup mới nếu đang sử dụng cơ chế sao lưu tăng dần.

Ngoài lỗ hổng RCE kể trên, các bản vá lần này cũng giải quyết nhiều vấn đề khác liên quan đến công cụ client, nơi các file lưu trữ (archive) được tạo thủ công có thể bị lợi dụng để thực thi mã độc hại.

Nguồn tham khảo: The Hacker News