Lỗ hổng nghiêm trọng trên phpMyAdmin cho phép kẻ tấn công phá hủy cơ sở dữ liệu

Một lỗ hổng bảo mật nghiêm trọng trên phpMyAdmin - một trong những phần mềm quản trị cơ sở dữ liệu MySQL phổ biến nhất sẽ gây hại cho cơ sở dữ liệu (database - DB) khi quản trị viên bị lừa click vào link.

Được nhà nghiên cứu bảo mật Ashutosh Barot phát hiện ra, lỗ hổng này có tên CSRF (Cross-site Request Forgery) khai thác kỹ thuật tấn công bằng cách sử dụng quyền chứng thực của người dùng. Các phiên bản phpMyAdmin 4.7.x (trước 4.7.7) đều bị ảnh hưởng.

CSRF còn được biết đến với tên XSRF, là kỹ thuật mà kẻ tấn công khiến người dùng bị lừa và thực hiện hành động không mong muốn, “bằng cách lừa người dùng click vào URL có độc, nó sẽ gây hại cho DB như xóa các ghi chép, xóa dữ liệu trong bảng…”

phpMyAdmin là công cụ quản trị MySQL và MariaDB mã nguồn mở, được nhiều người sử dụng để quản trị cơ sở dữ liệu website tạo bằng WordPress, Joomla và nhiều công cụ CMS khác.

Nhiều nhà cung cấp host còn dùng phpMyAdmin để khách hàng dễ quản lý cơ sở dữ liệu.

Sau khi phát hiện lỗ hổng, Barot có đăng video mô tả cách kẻ tấn công khiến cho admin xóa (lệnh DROP) toàn bộ bảng mà không hề biết khi bị lừa click vào link

“Một tính năng của phpMyAdmin là dùng yêu cầu GET, sau đó là POST để thực hiện các tác vụ như DROP TABLE table_name. GET được bảo vệ khỏi tấn công CSRF nhưng trong trường hợp này, POST được dùng và gửi qua URL (có thể là để đánh dấu trang)”, Barot giải thích.

Tuy vậy, thực hiện tấn công này cũng không đơn giản. Để chuẩn bị URL cho tấn công CSRF, kẻ tấn công phải biết được tên của cơ sở dữ liệu và bảng mà mình muốn xóa.

“Nếu người dùng thực hiện truy vấn trên DB bằng cách click vào DROP, nút chèn… thì URL sẽ chứa tên DB và bảng. Lỗ hổng này sẽ làm lộ các thông tin nhạy cảm vì URL được lưu ở nhiều nơi như lịch sử trình duyệt, lịch sử SIEM, Firewall, ISP…”, Barot giải thích.

Barot đã báo cáo lỗ hổng này tới phpAdmin và bản 4.7.7 phát hành sau đó đã được vá lỗ hổng.