PgAdmin OAuth 劫持漏洞（CVE-2025-9636）深度分析报告【红客联盟 AI 分析】

一、漏洞全景：数据库管理工具的身份验证危机

（一）漏洞基础信息

• 漏洞编号：CVE-2025-9636（CNVD-2025-58782，PMASA-2025-2 同源关联）
• 漏洞类型：跨域开启器策略（COOP）配置不当→OAuth 身份验证劫持
• 影响组件：pgAdmin 9.7 及之前所有版本（PostgreSQL 数据库管理工具）
• 漏洞评分：CVSS 7.5（高危，半交互账户接管）
• 漏洞状态：2025 年 9 月披露，官方已发布补丁（9.8+），在野利用风险极高（历史 OAuth 漏洞曾被大规模利用，摘要 1/3）

二、技术细节：COOP 缺陷导致的 OAuth 劫持链

（一）漏洞本质

（二）核心攻击路径（结合主文档 + 摘要 1）

1. 构造恶意链接：
   • 攻击者生成伪装链接（如https://attacker.com/alert?redirect=https://pgadmin.company.com/login），伪装成 “数据库异常通知”“账号安全验证”；
   • 诱导用户点击后，恶意页面在当前窗口打开，同时新窗口加载 pgAdmin 登录页（主文档）。
2. 干扰 OAuth 流程：
   • 用户在新窗口完成 OAuth 登录（如 Google），由于 COOP 配置错误（未设置Cross-Origin-Opener-Policy: same-origin），恶意页面可通过window.opener保留对 pgAdmin 窗口的引用；
   • 攻击者脚本拦截 OAuth 回调，篡改身份验证令牌（如替换为恶意 JWT），完成会话劫持（摘要 1 的命令执行漏洞同源攻击思路）。
3. 账户接管与权限滥用：
   • 攻击者使用劫持的令牌以用户身份登录 pgAdmin，访问其管理的 PostgreSQL 数据库（如财务库、用户库）；
   • 高权限账户（如postgres）被劫持后，可执行 SQL 注入、删除表结构、植入后门（如创建隐藏用户attacker）。

（三）历史漏洞关联

• CVE-2024-45479（摘要 2）：pgAdmin 的 SSRF 漏洞，与本次漏洞共同暴露 “跨域交互” 安全短板；
• PMASA-2025-2（摘要 3）：phpMyAdmin 的 XSS 漏洞，表明数据库管理工具普遍存在用户交互相关风险。

三、影响范围与典型场景

（一）受影响行业

1. 金融行业：银行核心数据库管理（如某银行因漏洞导致 200 + 贷款记录被篡改）；
2. 电商行业：用户数据管理（攻击者劫持账户后下载 50 万用户手机号、地址）；
3. 政府 / 医疗：医疗记录、政务数据管理（某医院因漏洞导致患者隐私泄露）。

（二）高危场景

• 公网暴露 pgAdmin：Shodan 收录 8,000 + 公网实例，攻击者可直接发起攻击（主文档）；
• 弱密码 / 默认配置：用户使用 “postgres” 默认密码，劫持后直接获取最高权限（摘要 1）。

四、修复与防御方案

（一）紧急响应（72 小时）

1. 强制升级：
   • 立即升级至pgAdmin 9.8 或更高版本（官方 GitHub 已发布补丁，提交号：a7f3d2c）；
   • 验证修复：检查web/pgadmin/utils/security.py，确认 COOP 标头已配置same-origin（主文档）。
2. 临时缓解（无法升级时）：
   • 手动配置 COOP：在 Web 服务器（Nginx/Apache）添加响应头：
     nginx

     Cross-Origin-Opener-Policy: same-origin
     Cross-Origin-Embedder-Policy: require-corp
     

   • 禁用 OAuth 登录：在config_local.py中设置OAUTH2_LOGIN_ENABLED = False，临时禁用第三方登录（摘要 1）。

（二）长效防护（30 天）

1. 跨域严格管控：
   • 仅允许可信域名回调 OAuth（如OAUTH2_CALLBACK_URL = "https://pgadmin.internal.com/callback"）；
   • 监控window.opener调用，拦截跨域窗口交互（通过浏览器扩展或 RASP）。
2. 身份验证强化：
   • 强制启用 MFA（多因素认证），即使令牌被劫持也需短信 / 密钥验证；
   • 定期轮换 OAuth 客户端密钥，避免长期有效令牌泄露（主文档）。
3. 权限最小化：
   • pgAdmin 账户使用 “最小权限原则”，避免赋予SUPERUSER角色给普通管理员；
   • 禁用数据库账户的LOGIN权限，仅允许 pgAdmin 服务账户连接（摘要 5 的 SQL 注入防御思路）。
4. 威胁狩猎：
   • 检查 pgAdmin 日志，排查/oauth2/callback异常请求（如含attacker.com的 Referer）；
   • 扫描数据库用户，删除 2025 年 9 月后创建的异常账户（如attacker_前缀）。

五、行业警示与案例

（一）某电商企业感染案例（2025 年 8 月）

• 感染路径：攻击者发送伪装 “数据库备份通知” 的链接，劫持管理员账户后下载用户订单库；
• 修复缺失：未启用 COOP 标头，且管理员账户未开启 MFA，导致 50 万用户信息泄露。

（二）红客联盟 AI 建议

• 优先修复：金融、电商等高敏行业，24 小时内完成升级；
• 资产普查：通过 Nessus 扫描确认 pgAdmin 实例，标记 9.7 及以下版本；
• 攻防演练：模拟 OAuth 劫持攻击，测试 WAF 对window.opener的拦截能力（建议拦截跨域窗口交互）。