Debians sikkerhedsbulletin
DSA-1403-1 phpmyadmin -- manglende kontrol af inddata
- Rapporteret den:
- 8. nov 2007
- Berørte pakker:
- phpmyadmin
- Sårbar:
- Ja
- Referencer i sikkerhedsdatabaser:
- I Mitres CVE-ordbog: CVE-2007-5589, CVE-2007-5386.
- Yderligere oplysninger:
-
Omer Singer fra DigiTrust Group opdagede flere sårbarheder i phpMyAdmin, et program til administrering af MySQL over WWW. Projektet Common Vulnerabilities and Exposures har fundet frem til følgende problemer:
- CVE-2007-5589
phpMyAdmin gjorde det muligt for en fjernangriber at sprøjte vilkårligt webskript eller HTML ind i konteksten hørende til en indlogget brugers session (skripting på tværs af servere, cross site scripting).
- CVE-2007-5386
Når phpMyAdmin tilgås af en browser, der ikke URL-indkaplser forespørgsler, gjorde det muligt for fjernangribere at indsprøjte vilkårligt webskript eller HTML gennem query-strengen.
I den gamle stabile distribution (sarge) er dette problem rettet i version 4:2.6.2-3sarge6.
I den stabile distribution (etch) er dette problem rettet i version 4:2.9.1.1-6.
I den ustabile distribution (sid) er dette problem rettet i version 4:2.11.1.2-1.
Vi anbefaler at du opgraderer din phpmyadmin-pakke.
- CVE-2007-5589
- Rettet i:
-
Debian GNU/Linux 3.1 (sarge)
- Kildekode:
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge6.dsc
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge6.diff.gz
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2.orig.tar.gz
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge6.diff.gz
- Arkitekturuafhængig komponent:
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.6.2-3sarge6_all.deb
Debian GNU/Linux 4.0 (etch)
- Kildekode:
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.9.1.1-6.dsc
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.9.1.1-6.diff.gz
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.9.1.1.orig.tar.gz
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.9.1.1-6.diff.gz
- Arkitekturuafhængig komponent:
- http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.9.1.1-6_all.deb
MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.