Bulletin d'alerte Debian

DSA-2034-1 phpmyadmin -- Plusieurs vulnérabilités

Date du rapport :

17 avril 2010

Paquets concernés :

phpmyadmin

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le dictionnaire CVE du Mitre : CVE-2008-7251, CVE-2008-7252, CVE-2009-4605.

Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans phpMyAdmin, un outil pour administrer MySQL par le web. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.

CVE-2008-7251
phpMyAdmin pourrait créer un répertoire temporaire, si le répertoire configuré n'existe pas encore, avec des autorisations de système de fichiers non sécurisées.
CVE-2008-7252
phpMyAdmin utilise des noms de fichier prévisibles pour les fichiers temporaires. Cela pourrait permettre une attaque locale par déni de service ou une augmentation de droits.
CVE-2009-4605
Le script setup.php embarqué avec phpMyAdmin peut créer une variable PHP à partir de données non fiables, permettant une requête intersite contrefaite.

Pour la distribution stable (Lenny), ces problèmes ont été corrigés dans la version 2.11.8.1-5+lenny4.

Pour la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 3.2.4-1.

Nous vous recommandons de mettre à jour votre paquet phpmyadmin.

Corrigé dans :

Debian GNU/Linux 5.0 (lenny)

Source :: http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.11.8.1-5+lenny4.dsc; http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.11.8.1-5+lenny4.diff.gz; http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.11.8.1.orig.tar.gz
Composant indépendant de l'architecture :: http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.11.8.1-5+lenny4_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.