Debian-Sicherheitsankündigung
DSA-1207-2 phpmyadmin -- Mehrere Verwundbarkeiten
- Datum des Berichts:
- 09. Nov 2006
- Betroffene Pakete:
- phpmyadmin
- Verwundbar:
- Ja
- Sicherheitsdatenbanken-Referenzen:
- In der Debian-Fehlerdatenbank: Fehler 339437, Fehler 340438, Fehler 362567, Fehler 368082, Fehler 391090.
In Mitres CVE-Verzeichnis: CVE-2006-1678, CVE-2006-2418, CVE-2005-3621, CVE-2005-3665, CVE-2006-5116. - Weitere Informationen:
-
Die phpmyadmin-Aktualisierung in DSA 1207 enthielt eine Regression. Diese Aktualisierung behebt den Fehler. Der Vollständigkeit halber finden Sie im Folgenden den Originaltext der Ankündigung:
Mehrere entfernt ausnutzbare Verwundbarkeiten wurden in phpMyAdmin, einem Programm zum Administrieren von MySQL über das Netzwerk, entdeckt. Das
Common Vulnerabilities and Exposures
-Projekt identifiziert die folgenden Probleme:- CVE-2005-3621
Eine CRLF-Einschleusungsverwundbarkeit erlaubt entfernten Angreifern das Durchführen von HTTP-Antwort-Aufteilungsangriffen.
- CVE-2005-3665
Mehrere Site-übergreifende Skripting-Verwundbarkeiten erlauben entfernten Angreifern die Einschleusung beliebiger Web-Skripte oder HTML-Codes mittels der (1) Variablen HTTP_HOST und (2) verschiedenen Skripten im Bibliotheksverzeichnis, das die Header-Erzeugung handhabt.
- CVE-2006-1678
Mehrere Site-übergreifende Skripting-Verwundbarkeiten erlauben entfernten Angreifern die Einschleusung beliebiger Web-Skripte oder HTML-Codes mittels Skripten im Themes-Verzeichnis.
- CVE-2006-2418
Eine Site-übergreifende Skripting-Verwundbarkeit erlaubt entfernten Angreifern die Einschleusung beliebiger Web-Skripte oder HTML-Codes mittels des db-Parameters von footer.inc.php.
- CVE-2006-5116
Ein entfernter Angreifer könnte interne Variablen mittels der globalen Variablen _FILES überschreiben.
Für die Stable-Distribution (Sarge) wurden diese Probleme in Version 2.6.2-3sarge3 behoben.
Für die kommende Stable-Distribution (Etch) und die Unstable-Distribution (Sid) wurden diese Probleme in Version 2.9.0.3-1 behoben.
Wir empfehlen Ihnen, Ihr phpmyadmin-Paket zu aktualisieren.
- CVE-2005-3621
- Behoben in:
-
Debian GNU/Linux 3.1 (sarge)
- Quellcode:
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge3.dsc
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge3.diff.gz
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2.orig.tar.gz
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge3.diff.gz
- Architektur-unabhängige Dateien:
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge3_all.deb
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.
MD5-Prüfsummen der aufgezählten Dateien stehen in der überarbeiteten Sicherheitsankündigung zur Verfügung.