Lỗ hổng nghiêm trọng trong PostgreSQL cho phép tin tặc khai thác các biến môi trường
Các nhà nghiên cứu an ninh mạng đã tiết lộ một lỗ hổng bảo mật nghiêm trọng trong hệ thống cơ sở dữ liệu nguồn mở PostgreSQL có thể cho phép người dùng không có đặc quyền thay đổi các biến môi trường và có khả năng dẫn đến thực thi mã hoặc tiết lộ thông tin.
Lỗ hổng bảo mật được theo dõi với tên gọi CVE-2024-10979 có điểm CVSS là 8,8.
Biến môi trường là các giá trị do người dùng định nghĩa có thể cho phép chương trình lấy động nhiều loại thông tin khác nhau, chẳng hạn như khóa truy cập và đường dẫn cài đặt phần mềm, trong thời gian chạy mà không cần phải mã hóa cứng chúng. Trong một số hệ điều hành, chúng được khởi tạo trong giai đoạn khởi động.
PostgreSQL cho biết trong một thông báo phát hành hôm thứ Năm: "Việc kiểm soát không đúng các biến môi trường trong PostgreSQL PL/Perl cho phép người dùng cơ sở dữ liệu không có đặc quyền thay đổi các biến môi trường của quy trình nhạy cảm (ví dụ: PATH) )" .[](https://www.postgresql.org/support/security/CVE-2024-10979/)
"Điều đó thường đủ để cho phép thực thi mã tùy ý, ngay cả khi kẻ tấn công không có người dùng hệ điều hành máy chủ cơ sở dữ liệu."
Lỗi này đã được khắc phục trong PostgreSQL phiên bản 17.1, 16.5, 15.9, 14.14, 13.17 và 12.21. Các nhà nghiên cứu của Varonis, Tal Peleg và Coby Abrams, những người phát hiện ra vấn đề này, cho biết nó có thể dẫn đến "các vấn đề bảo mật nghiêm trọng" tùy thuộc vào kịch bản tấn công.
Điều này bao gồm, nhưng không giới hạn ở, việc thực thi mã tùy ý bằng cách sửa đổi các biến môi trường như PATH hoặc trích xuất thông tin có giá trị trên máy bằng cách chạy các truy vấn độc hại.
Các chi tiết bổ sung về lỗ hổng hiện đang được giữ lại để người dùng có đủ thời gian áp dụng các bản sửa lỗi. Người dùng cũng được khuyên nên hạn chế các tiện ích mở rộng được phép.
Varonis cho biết: "Ví dụ, giới hạn quyền CREATE EXTENSIONS cấp cho các tiện ích mở rộng cụ thể và ngoài ra, thiết lập tham số cấu hình shared\_preload\_libraries để chỉ tải các tiện ích mở rộng cần thiết, giới hạn các vai trò tạo chức năng theo nguyên tắc đặc quyền tối thiểu bằng cách hạn chế quyền CREATE FUNCTION".