02/10/2026 · VietTechies · Biên tập
Nhóm Phát triển Toàn cầu Pgpool-II đã phát hành các bản cập nhật bảo trì nhỏ trên năm nhánh phiên bản, xử lý nhiều lỗ hổng bảo mật trong middleware quản lý và proxy kết nối PostgreSQL. Các bản cập nhật này bao gồm những phiên bản 4.7.3, 4.6.8, 4.5.13, 4.4.18 và 4.3.21, tập trung sửa các lỗi liên quan đến giao tiếp nút watchdog, xử lý chuyển vùng tự động (failover) và cơ chế xác thực chứng thư.
Các lỗ hổng hỏng bộ nhớ trong Watchdog
Nhiều lỗi quản lý bộ nhớ nghiêm trọng trong phân hệ watchdog của Pgpool-II đã được khắc phục trong các phiên bản mới này. Trước đó, lỗ hổng CVE-2026-92867 cho phép kẻ tấn công ghi các giá trị 32-bit tùy ý vào vị trí bộ nhớ bất kỳ thông qua các tin nhắn watchdog bị biến dạng trong quá trình failover. Tương tự, lỗ hổng CVE-2026-92869 cho phép ghi đè bộ nhớ vượt quá phạm vi của mảng cố định, trong khi CVE-2026-92870 cho phép ghi dữ liệu có độ dài tùy ý làm hỏng bộ nhớ stack và gây sự cố cho các tiến trình Pgpool-II.
Vượt qua xác thực và rò rỉ thông tin
Bản cập nhật giúp giảm thiểu rủi ro từ các lỗ hổng nghiêm trọng trong kiểm soát truy cập và xác minh danh tính. Theo lỗ hổng CVE-2026-92868, quá trình xác thực chứng thư của client không xử lý đúng ký tự NUL trong trường Common Name của chứng thư X.509, tạo điều kiện cho các client trái phép kết nối dưới danh nghĩa người dùng khác mà không cần mật khẩu. Trong cấu hình liên kết giữa các nút watchdog, CVE-2026-92873 cho phép kẻ tấn công bỏ qua bước kiểm tra khóa xác thực để nâng cấp một nút watchdog bất kỳ lên trạng thái leader, trong khi CVE-2026-92871 gây ra lỗi giải tham chiếu con trỏ NULL khi thông tin xác thực bị thiếu trong các tin nhắn được tạo sẵn. Ngoài ra, CVE-2026-92872 cũng giải quyết một lỗ hổng tiết lộ thông tin trong tiến trình nhận heartbeat.
Khả năng cung cấp và các gói mã nguồn
Các quản trị viên cơ sở dữ liệu đang vận hành các hệ thống Pgpool-II trong môi trường PostgreSQL sẵn sàng cao (HA) được khuyến nghị nên xem xét thông tin chi tiết của bản phát hành và nâng cấp hệ thống. Người dùng có thể tải về các bản cập nhật dưới dạng gói mã nguồn lưu trữ hoặc các gói RPM được đóng gói sẵn trên tất cả các nhánh bảo trì hỗ trợ.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Pgpool-II 4.7.3, 4.6.8, 4.5.13, 4.4.18 and 4.3.21 released.