Рекомендация Debian по безопасности

DSA-880-1 phpmyadmin -- несколько уязвимостей

Дата сообщения:

02.11.2005

Затронутые пакеты:

Уязвим:

Да

Ссылки на базы данных по безопасности:

В системе отслеживания ошибок Debian: Ошибка 328501, Ошибка 335306, Ошибка 335513.
В базе данных Bugtraq (на SecurityFocus): Идентификатор BugTraq 15169.
В каталоге Mitre CVE: CVE-2005-2869, CVE-2005-3300, CVE-2005-3301.

Более подробная информация:

В phpmyadmin, наборе сценариев на языке PHP для администрирования MySQL через WWW, было обнаружено несколько случаев межсайтового скриптинга. Проект Common Vulnerabilities and Exposures определяет следующие проблемы:

CAN-2005-2869
Андреас Кербер и Михал Цигар обнаружили несколько случаев межсайтового скриптинга на странице error и в куки страницы login.
CVE-2005-3300
Штефан Эссер обнаружил отсутствие проверок надёжности в grab_globals.php, которые могут позволить злоумышленнику загрузить в phpmyadmin код из произвольного локального файла.
CVE-2005-3301
Тобиас Кляйн обнаружил несколько случаев межсайтового скриптинга, которые могут позволить злоумышленникам вводить произвольный код HTML или выполнять скриптинг на стороне клиента.

Версия пакета в предыдущем стабильном выпуске (woody), вероятно, содержит собственные уязвимости, исправить её без полного аудита и подготовки заплат представляется непростым делом. Гораздо проще выполнить обновление с woody до sarge.

В стабильном выпуске (sarge) эти проблемы были исправлены в версии 2.6.2-3sarge1.

В нестабильном выпуске (sid) эти проблемы были исправлены в версии 2.6.4-pl3-1.

Рекомендуется обновить пакет phpmyadmin.

Исправлено в:

Debian GNU/Linux 3.1 (sarge)

Исходный код:: http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge1.dsc; http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge1.diff.gz; http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2.orig.tar.gz
Независимые от архитектуры компоненты:: http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge1_all.deb

Контрольные суммы MD5 этих файлов доступны в исходном сообщении.