Debian-Sicherheitsankündigung

DSA-880-1 phpmyadmin -- Mehrere Verwundbarkeiten

Datum des Berichts:
02. Nov 2005
Betroffene Pakete:
phpmyadmin
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In der Debian-Fehlerdatenbank: Fehler 328501, Fehler 335306, Fehler 335513.
In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 15169.
In Mitres CVE-Verzeichnis: CVE-2005-2869, CVE-2005-3300, CVE-2005-3301.
Weitere Informationen:

Mehrere Verwundbarkeiten durch Site-übergreifendes Skripting wurden in phpmyadmin entdeckt, einem Satz von PHP-Skripten zur Administration von MySQL über das WWW. Das »Common Vulnerabilities and Exposures project« legt die folgenden Probleme fest:

  • CAN-2005-2869

    Andreas Kerber und Michal Cihar entdeckten mehrere Verwundbarkeiten durch Site-übergreifendes Skripting in der Fehlerseite und dem Cookie-Login.

  • CVE-2005-3300

    Stefan Esser entdeckte fehlende Sicherheitsüberprüfungen in der Datei grab_globals.php, die es einem Angreifer ermöglichen, phpmyadmin dazu zu veranlassen, eine beliebige lokale Datei einzubinden.

  • CVE-2005-3301

    Tobias Klein entdeckte mehrere Verwundbarkeiten durch Site-übergreifendes Skripting, die es Angreifern ermöglichen, beliebigen HTML-Code oder Client-seitige Skripte einzuschleusen.

Die Version in der alten Stable-Distribution (Woody) hat wahrscheinlich ihre eigenen Fehler und ist nicht einfach ohne eine vollständige Audit- und Patchsitzung zu korrigieren. Der leichtere Weg ist, eine Aktualisierung von Woody auf Sarge durchzuführen.

Für die Stable-Distribution (Sarge) wurden diese Probleme in Version 2.6.2-3sarge1 behoben.

Für die Unstable-Distribution (Sid) wurden diese Probleme in Version 2.6.4-pl3-1 behoben.

Wir empfehlen Ihnen, Ihr phpmyadmin-Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 3.1 (sarge)

Quellcode:
http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge1.dsc
http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge1.diff.gz
http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2.orig.tar.gz
Architektur-unabhängige Dateien:
http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge1_all.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.