Bulletin d'alerte Debian

DLA-1658-1 phpmyadmin -- Mise à jour de sécurité pour LTS

Date du rapport :

1^er février 2019

Paquets concernés :

phpmyadmin

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2018-19968, CVE-2018-19970.

Plus de précisions :

Un couple de vulnérabilités a été découvert dans phpmyadmin, un outil d’administration web pour MySQL.

CVE-2018-19968
Un attaquant peut exploiter phpMyAdmin avant 4.8.4 pour divulguer le contenu d’un fichier local à cause d’une erreur dans la fonction de transformation. L’attaquant doit avoir accès aux tables de stockage de configuration de phpMyAdmin, bien que celles-ci peuvent être facilement créées dans n’importe quelle base de données accessibles par l’attaquant. Un attaquant doit avoir des droits adéquats pour se connecter dans phpMyAdmin. Cette vulnérabilité ne permet pas à un attaquant de contourner la procédure de connexion.
CVE-2018-19970
Une vulnérabilité de script intersite (XSS) a été découverte dans l’arbre de navigation, où un attaquant peut fournir une charge à un utilisateur un nom contrefait de base de données ou de table.

Pour Debian 8 Jessie, ces problèmes ont été corrigés dans la version 4:4.2.12-2+deb8u4.

Nous vous recommandons de mettre à jour vos paquets phpmyadmin.

Plus d’informations à propos des annonces de sécurité de Debian LTS, comment appliquer ces mises à jour dans votre système et les questions fréquemment posées peuvent être trouvées sur : https://wiki.debian.org/LTS.