LINUX.ORG.RU

Многочисленные критические уязвимости в phpMyAdmin

 


0

1

Обновления с пометкой «срочно» - разработчики phpMyAdmin, средства управления базами данных MySQL, выпускают новые версии для двух развиваемых веток - 3.3.10.2 and 3.4.3.1. Причем все предыдущие релизы проекта имеют критичные уязвимости, а именно:

  • Ошибка в функции Swekey_login(), описанной в файле libraries/auth/swekey/swekey.auth.lib.php. Используя уязвимость, можно перезаписать переменные сессии, а также выполнить собственный PHP-код;
  • Данные, передаваемые функции PMA_createTargetTables(), описанной в файле libraries/server_synchronize.lib.php, проверяются неполностью перед вызовом функции preg_replace() с модификатором «e». Используя данную уязвимость, можно выполнить собственный PHP-код, переданный в URL через NULL-байт;
  • Данные, передаваемые функции PMA_displayTableBody(), описанной в файле libraries/display_tbl.lib.php, проверяются неполностью перед их использованием для включения файлов. Таким образом, у злоумышленника появляется возможность включать в текст скрипта любые локальные файлы.

В дополнение к вышесказанному были отмечены уязвимости в установочных скриптах, позволяющие выполнять любой PHP-код при перезаписанных переменных сессии.

>>> Подробности

★★★★★

Проверено: Shaman007 ()

Ещё раз подтверждено, что сабж ставить не желательно.

AlexVR ★★★★★ ()

Может ли злоумышленник воспользоваться уязвимостями, не имея логина-пароля в ПМА?

Ingwar ★★★★★ ()

Пароль длинный, но пора закрывать виртуалхост htaccess'ом.

Fletch ★★ ()

вопрос знающим людям:

если сабж висит в вирт.хосте, который по конфигу апача доступен только из vpn, теоретически можно ли получить доступ к pma, подделав http-запросы? (апач виден также вне vpn).

dib2 ★★★★★ ()

тьху ты, еще и баянисто
это PMASA-2011-5...8, обновились еще 4 дня назад.

dib2 ★★★★★ ()

ПО ХА ПЭ! Дырявость финды, теперь онлайн, теперь кросплатформенно.

anonymous ()

идём обновляться 3.4.2 to 3.4.3.1

qbbr ★★★★ ()

Глобально и надежно.

anonymous ()

эксплойта нет, трудно реализуемо насколько я понял

xtraeft ★★☆☆ ()
Ответ на: комментарий от m16a1

Прям так лучше? Заинтересовало, спасибо.

А для чего его вообще сделали? Типа легковесного phpMyAdmin? Или он просто такой легкий пока не развился?

FatBastard ★★ ()

Сколько решето не корми, оно всё равно предаст при первой опасности.

У меня искальщики phpmyadmin хотят на сайт больше, чем юзеры, спайдеры и пингеры, вместе взятые. Ну невдомёк им, болезным, что нету у меня на сервере вообще никакого php.

kid_lester ()
Ответ на: комментарий от kid_lester

Ну невдомёк им, болезным, что нету у меня на сервере вообще никакого php.

Была б всегда моя воля, тоже никада бы пхп не держал. А то иногда приходится прогибаться. Хорошо, что хоть phpMyAdmin всегда отговаривал ставить. В последнее время даже от Mysql иногда получается отговрить.

Casus ★★★★★ ()

>Многочисленные критические уязвимости в phpMyAdmin

Неужели?

anonymous ()

Все правильно, php - это не язык для быдлокодеров.

anonymous ()

А в 3.3.7deb5 есть? На всякий случай отключил.

adepto ()

> проверяются неполностью

непорусски както написано

kid_lester ()

лишний раз убеждаюсь, что отовсюду это решето выпиливать надо. в консоли прекрасно выполняются все теже самые задачи.

tazhate ★★★★★ ()
Ответ на: комментарий от adepto

> А в 3.3.7deb5 есть? На всякий случай отключил.

Смотрите секьюрити-ченчлоги в Debian. Можно прям в packages.debian.org пакет выбрать и там посмотреть.

kid_lester ()
Ответ на: комментарий от adepto

>На всякий случай отключил.

он совсем не нужен. совсем отключай и никогда больше не пользуйся.

tazhate ★★★★★ ()
Ответ на: комментарий от kid_lester

всмысле у тебя phpmyadmin тоже боты ищут, правда не поисковые

xtraeft ★★☆☆ ()
Ответ на: комментарий от tazhate

tazhate> он совсем не нужен. совсем отключай и никогда больше не пользуйся.
А если мне так работать проще? :)

adepto ()
Ответ на: комментарий от kid_lester

> Ну невдомёк им, болезным, что нету у меня на сервере вообще никакого php.

Только венда с дотнетом? ;-)

atrus ★★★★★ ()

Не понимаю одного, почему не найдется желающих написать аналог phpmyadmin например на python или perl

yanka ★★ ()
Ответ на: комментарий от yanka

И если ты не в курсе, то php к дырявости phpmyadmin не имеет никакого отношения, оно было бы таким же дырявым на любом языке, если, конечно же, ты не возьмешь дело в свои руки, и не сделаешь лучше. Ты ведь возьмешься, верно?

anonymous ()
Ответ на: комментарий от yanka

Может быть потому, что те, кто знает хотя бы python или perl, осознают ненужность phpmyadmin?

anonymous ()
Ответ на: комментарий от anonymous

Я знаю и питон, и перл, осознаю нужность phpmyadmin, т.к. не всегда есть возможность использовать что-то другое.

anonymous ()

Зачем все это? Есть же кошерный ssh.

AVL2 ★★★★★ ()

Кстати, в 3.4.х здорово напортачили с интерфейсом - ссылки на операции в таблице зачем-то всунули в начало каждой строки, убрали «Очистить таблицу», сделали какой-то рахитский экспорт-импорт. Кто знает как вернуть всё как было, не откатываясь на старые версии ?

vs240 ()

пых быдлокодеры во всей красе. страшно представить какой говнокод пишут в проектах помельче

zloy_linuxoid ()
Ответ на: комментарий от yanka

>>Не понимаю одного, почему не найдется желающих написать аналог phpmyadmin например на python или perl

perl умер

zloy_linuxoid ()
Ответ на: комментарий от atrus

> Только венда с дотнетом? ;-)

Тогда бы я здесь не писал. Мне бы пришлось с секундомером в одной руке, и лопатой в другой, держать круглосуточное бдение.

kid_lester ()
Ответ на: комментарий от zloy_linuxoid

Шёл я мимо мавзолея
Из окна увидел perl
Пусть совсем он околеет
А то до сих пор не вмерл

kid_lester ()
Ответ на: комментарий от kid_lester

> Из окна

И в окно.

из --- значит изнутри увидел.

sv75 ★★★★★ ()
Ответ на: комментарий от anonymous

О да, во всем виноват язык программирования. Вам следует идти к ЕГЭ готовиться.

elnair ()

ubuntu server

Хм, в ubuntu 10.04.2 всё ещё 3.3.2-1

anonymous ()

Есть sqlyog если так уж нужен mysql.
Хоть и проприетарный, но хавает все эти поделки на завтрак.

d9d9 ★★★ ()
Ответ на: комментарий от sv75

Это был Ленин-зомби. Походил мимо мавзолея, а потом вернулся в него и сидя у оконца смотрел на улицу.

AVL2 ★★★★★ ()
Ответ на: комментарий от anonymous

>Может быть потому, что те, кто знает хотя бы python или perl, осознают ненужность phpmyadmin?

Я знаю и Python, и Perl. Но phpMyAdmin — очень востребованный инструмент. Так что ты не прав.

KRoN73 ★★★★★ ()
Ответ на: комментарий от vs240

>ссылки на операции в таблице зачем-то всунули в начало каждой строки

В настройках убирается. Как в конфиге, так и в новведении — персональных настройках.

сделали какой-то рахитский экспорт-импорт


Аналогично — переключается в настройках.

KRoN73 ★★★★★ ()
Ответ на: комментарий от tazhate

Кстати да, в свое время понял, что всякие ololoSQLadmin.php для людей, не освоивших консолечку.

Nicholass ★★★ ()
Ответ на: комментарий от yanka

Оно не нужно. SQL очень близок к естественным языкам, можно и в консольке посидеть.

Nicholass ★★★ ()
Ответ на: ubuntu server от anonymous

Жир сейчас выдавит экран монитора моего с той стороны, остановитесь, молю.

Nicholass ★★★ ()
Ответ на: комментарий от kid_lester

просто Перл это удивительный мир внутри мавзолея, а все остальные глупцы заточены снаружи.

Nicholass ★★★ ()

в php-поделке уязвимости? Не может быть! врете вы все. Этож ынтерпрайз!

anonymous ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.