Nhóm Phát triển Toàn cầu PostgreSQL đã công bố các bản cập nhật bảo mật khẩn cấp vào ngày 14 tháng 8 năm 2025, nhằm giải quyết ba lỗ hổng PostgreSQL nghiêm trọng. Các lỗ hổng này cho phép thực hiện các cuộc tấn công chèn mã độc (code injection attacks) trong quá trình khôi phục cơ sở dữ liệu.

Các lỗ hổng này ảnh hưởng đến tất cả các phiên bản được hỗ trợ, cụ thể là từ PostgreSQL 13 đến 17. Điều này đòi hỏi các môi trường doanh nghiệp phải tiến hành vá lỗi ngay lập tức để ngăn chặn các rủi ro tiềm tàng. Sự khẩn cấp được đặt ra do tính chất nghiêm trọng của các lỗ hổng có thể dẫn đến chiếm quyền điều khiển hệ thống.

Phân Tích Các Lỗ Hổng Nghiêm Trọng trong PostgreSQL

Các bản cập nhật bảo mật này đặc biệt quan trọng vì chúng giải quyết các lỗ hổng có thể bị khai thác để đạt được thực thi mã từ xa (Remote Code Execution – RCE) và rò rỉ dữ liệu nhạy cảm. Đây là những mối đe dọa hàng đầu đối với an ninh mạng của các tổ chức sử dụng PostgreSQL.

CVE-2025-8714 và CVE-2025-8715: Nguy Cơ Thực Thi Mã Từ Xa

Hai lỗ hổng thực thi mã nghiêm trọng đã được định danh là CVE-2025-8714 và CVE-2025-8715. Chúng khai thác tiện ích sao lưu pg_dump của PostgreSQL để chèn các lệnh độc hại vào các tệp sao lưu dữ liệu hợp lệ.

Khi các bản sao lưu đã bị thỏa hiệp này được khôi phục bằng tiện ích dòng lệnh psql, kẻ tấn công có khả năng thực thi mã tùy ý trên hệ thống đích. Quyền hạn của mã độc sẽ tương ứng với quyền của người dùng đang chạy tiến trình khôi phục, thường là quyền cao trong môi trường máy chủ.

CVE-2025-8714: Lạm Dụng Siêu Người Dùng và Meta-commands

Lỗ hổng CVE-2025-8714 cho phép các siêu người dùng độc hại (malicious superusers) nhúng các lệnh psql meta-commands vào các bản sao lưu cơ sở dữ liệu. Điều này tận dụng sự tin cậy ngầm định vào dữ liệu đầu vào.

Trong quá trình khôi phục, các lệnh này sẽ được thực thi trực tiếp trên hệ thống máy khách (client system). Điều này tiềm ẩn nguy cơ làm tổn hại toàn bộ hạ tầng (infrastructure pipelines), nơi quá trình khôi phục là một phần quan trọng trong chuỗi vận hành.

Cuộc tấn công này có cơ chế tương tự việc tận dụng dữ liệu không đáng tin cậy được bao gồm trong pg_dump, như đã thấy trong lỗ hổng CVE-2024-21096 của MySQL.

CVE-2025-8715: Xử Lý Ký Tự Xuống Dòng Không Đúng Cách và SQL Injection

Lỗ hổng CVE-2025-8715 khai thác việc xử lý ký tự xuống dòng (newline handling) không đúng cách trong tên các đối tượng cơ sở dữ liệu. Lỗ hổng này cho phép cả thực thi mã phía máy khách (client-side code execution) và tấn công SQL injection trên máy chủ mục tiêu.

Đáng chú ý, lỗ hổng này tái tạo các vector tấn công vốn đã được cho là đã khắc phục bởi CVE-2012-0868. Điều này minh chứng cho việc các lỗi bảo mật có thể tái xuất hiện (security regressions) trong quá trình cập nhật bảo trì định kỳ, nhấn mạnh tầm quan trọng của việc kiểm tra bảo mật liên tục.

CVE-2025-8713: Rò Rỉ Dữ Liệu Nhạy Cảm

Lỗ hổng thứ ba được công bố, CVE-2025-8713, dẫn đến việc rò rỉ dữ liệu nhạy cảm thông qua hệ thống thống kê tối ưu hóa (optimizer statistics system) của PostgreSQL. Đây là một vấn đề nghiêm trọng đối với tính bảo mật và riêng tư của dữ liệu.

Kẻ tấn công có thể tạo ra các toán tử độc hại (malicious operators) được thiết kế đặc biệt để bỏ qua các kiểm soát truy cập chế độ xem (view access controls) và các chính sách bảo mật cấp hàng (row-level security policies).

Hậu quả là truy cập được dữ liệu mẫu (sampled data) lẽ ra phải được giữ kín. Điều này có thể dẫn đến việc tiết lộ thông tin quan trọng hoặc bí mật kinh doanh, gây ra thiệt hại đáng kể cho tổ chức.

Ảnh Hưởng Rộng Rãi và Biện Pháp Phản Ứng Khẩn Cấp

Các lỗ hổng này đặc biệt nguy hiểm trong các môi trường DevOps và CI/CD, nơi quá trình khôi phục sao lưu tự động diễn ra thường xuyên và có thể được tích hợp vào các quy trình tự động. Các bản sao lưu bị thỏa hiệp có thể thực thi với đặc quyền hệ thống nâng cao (elevated system privileges), dẫn đến chiếm quyền điều khiển hoàn toàn các hệ thống sản xuất.

Các nhà cung cấp dịch vụ đám mây lớn đã phản ứng nhanh chóng bằng cách triển khai các bản cập nhật khẩn cấp cho các cụm máy chủ PostgreSQL của họ. Một số nhà cung cấp thậm chí đã tạm thời vô hiệu hóa các hoạt động khôi phục logic do khách hàng khởi tạo cho đến khi tất cả các cụm khách hàng được xác minh đã được vá lỗi đầy đủ.

Các nhóm phát triển cũng cần khẩn trương kiểm tra lại các quy trình CI/CD pipelines của mình về việc sử dụng tiện ích pg_dump. Điều quan trọng là phải triển khai các bước xác thực bổ sung và nghiêm ngặt cho các tệp sao lưu để đảm bảo chúng không chứa mã độc.

Khuyến Nghị Khắc Phục và Nâng Cao An Toàn Thông Tin

Để bảo vệ hệ thống khỏi các mối đe dọa này, các tổ chức phải ưu tiên nâng cấp lên các phiên bản PostgreSQL đã được vá lỗi. Cụ thể, các phiên bản cần được nâng cấp ngay lập tức bao gồm PostgreSQL 17.6, 16.10, 15.14, 14.19 hoặc 13.22. Đây là hành động thiết yếu để khắc phục các lỗ hổng CVE nghiêm trọng này và ngăn chặn các cuộc tấn công tiềm tàng.

Với việc phiên bản PostgreSQL 13 sẽ chính thức hết hạn hỗ trợ (end-of-life – EOL) vào ngày 13 tháng 11 năm 2025, các tổ chức đang sử dụng phiên bản này nên ưu tiên kế hoạch di chuyển sang các phiên bản được hỗ trợ mới hơn. Điều này không chỉ giúp vá các lỗ hổng hiện tại mà còn đảm bảo nhận được các bản vá bảo mật và hỗ trợ kỹ thuật trong tương lai.

Dự án PostgreSQL đã ghi nhận công lao của Martin Rakhmanov, Matthieu Denais, RyotaK, Noah Misch và Dean Rasheed vì đã tiết lộ có trách nhiệm các lỗ hổng này. Việc cập nhật bản vá thường xuyên và theo dõi các thông báo bảo mật là yếu tố then chốt để duy trì an toàn thông tin và bảo mật mạng cho các hệ thống cơ sở dữ liệu PostgreSQL.

Để biết thêm thông tin chi tiết về các bản cập nhật bảo mật này và các thông báo khác, bạn có thể tham khảo thông báo chính thức từ PostgreSQL tại PostgreSQL News.