Lỗ hổng PostgreSQL bị khai thác cùng với BeyondTrust Zero-Day trong các cuộc tấn công có mục tiêu

Xuất bản: 16/2/2025

Lỗ hổng PostgreSQL bị khai thác cùng với BeyondTrust Zero-Day trong các cuộc tấn công có mục tiêu

Theo phát hiện của Rapid7, những tác nhân đe dọa đứng sau vụ khai thác lỗ hổng zero-day trong các sản phẩm BeyondTrust Privileged Remote Access (PRA) và Remote Support (RS) vào tháng 12 năm 2024 có khả năng cũng đã khai thác một lỗ hổng tiêm SQL chưa từng biết đến trong PostgreSQL.

![Lỗ hổng PostgreSQL](https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjSsVzZMXE_YzNPyUX1Q0hPnz4RVdVaxj6x-DCGIcyLXfR1cRkaIHUcqr3ebiZ77EwqjgAYKfYlKZbT4dIs8ozRB2t2QK4JGEHtzzwS9f8ZRRhmzo_HJObKi8EaXfk_DpdXL4epfXXidevZocWqS0Zy6wZs_COxMIPDKdtVsWEibYa6EH7jiF8V6Kqf6qwv/s728-rw-e365/PostgreSQL-zeroday.png "Lỗ hổng PostgreSQL")

Lỗ hổng bảo mật được theo dõi là CVE-2025-1094 (điểm CVSS: 8.1), ảnh hưởng đến công cụ tương tác psql của PostgreSQL.

Nhà nghiên cứu bảo mật Stephen Fewer cho biết : "Kẻ tấn công có thể tạo ra lỗi SQL injection thông qua CVE-2025-1094 sau đó có thể thực thi mã tùy ý (ACE) bằng cách tận dụng khả năng chạy siêu lệnh của công cụ tương tác" .

![Cybersecurity](data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAAEAAAABCAQAAAC1HAwCAAAAC0lEQVR42mP8Xw8AAoMBgDTD2qgAAAAASUVORK5CYII=)

Công ty an ninh mạng này cũng lưu ý rằng họ đã phát hiện ra điều này như một phần trong quá trình điều tra CVE-2024-12356 , một lỗ hổng bảo mật mới được vá trong phần mềm BeyondTrust cho phép thực thi mã từ xa mà không cần xác thực.

Cụ thể, nghiên cứu phát hiện rằng "một khai thác thành công đối với CVE-2024-12356 phải bao gồm khai thác CVE-2025-1094 để có thể thực thi mã từ xa".

Trong một thông báo được phối hợp, những người bảo trì PostgreSQL đã phát hành bản cập nhật để giải quyết vấn đề trong các phiên bản sau -

  • PostgreSQL 17 (Đã sửa trong 17.3)
  • PostgreSQL 16 (Đã sửa trong 16.7)
  • PostgreSQL 15 (Đã sửa trong 15.11)
  • PostgreSQL 14 (Đã sửa trong 14.16)
  • PostgreSQL 13 (Đã sửa trong 13.19)

Lỗ hổng này bắt nguồn từ cách PostgreSQL xử lý các ký tự UTF-8 không hợp lệ, do đó mở ra khả năng kẻ tấn công có thể khai thác lỗi SQL injection bằng cách sử dụng lệnh tắt "\\!" , cho phép thực thi lệnh shell.

![Cybersecurity](data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAAEAAAABCAQAAAC1HAwCAAAAC0lEQVR42mP8Xw8AAoMBgDTD2qgAAAAASUVORK5CYII=)

"Kẻ tấn công có thể lợi dụng CVE-2025-1094 để thực hiện siêu lệnh này, do đó kiểm soát lệnh shell hệ điều hành được thực thi", Fewer cho biết. "Ngoài ra, kẻ tấn công có thể tạo ra lệnh tiêm SQL thông qua CVE-2025-1094 có thể thực thi các câu lệnh SQL tùy ý do kẻ tấn công kiểm soát".

Sự phát triển này diễn ra khi Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) thêm một lỗ hổng bảo mật ảnh hưởng đến phần mềm hỗ trợ từ xa SimpleHelp ( CVE-2024-57727 , điểm CVSS: 7,5) vào danh mục Lỗ hổng đã khai thác được biết đến ( KEV ), yêu cầu các cơ quan liên bang áp dụng bản sửa lỗi trước ngày 6 tháng 3 năm 2025.