Debians sikkerhedsbulletin

DSA-2097-1 phpmyadmin -- utilstrækkelig fornuftighedskontrol af inddata

Rapporteret den:

29. aug 2010

Berørte pakker:

phpmyadmin

Sårbar:

Referencer i sikkerhedsdatabaser:

I Mitres CVE-ordbog: CVE-2010-3055, CVE-2010-3056.

Yderligere oplysninger:

Flere fjernudnytbare sårbarheder er opdaget i phpMyAdmin, et værktøj til administrering af MySQL over WWW. Projektet Common Vulnerabilities and Exposures har registreret følgende problemer:

CVE-2010-3055
Opsætningsskriptet fornuftighedskontrollerede ikke på korrekt vis sin uddatafil, hvilket gjorde det muligt for fjernangribere at udføre vilkårlig PHP-kode via en fabrikeret POST-forespørgsel. I Debian er opsætningsværktøjet som standard beskyttet ved hjælp af Apaches basale HTTP-autentifikation.
CVE-2010-3056
Der er opdaget forskellige problemer i forbindelse med udførelse af skripter på tværs af servere; de gjorde det muligt for en fjernangriber at indsprøjte vilkårligt webskript eller HTML.

I den stabile distribution (lenny), er disse problemer rettet i version 2.11.8.1-5+lenny5.

I distributionen testing (squeeze) og i den ustabile distribution (sid), er disse problemer rettet i version 3.3.5.1-1.

Vi anbefaler at du opgraderer din phpmyadmin-pakke.

Rettet i:

Debian GNU/Linux 5.0 (lenny)

Kildekode:: http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.11.8.1.orig.tar.gz; http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.11.8.1-5+lenny5.dsc; http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.11.8.1-5+lenny5.diff.gz
Arkitekturuafhængig komponent:: http://security.debian.org/pool/updates/main/p/phpmyadmin/phpmyadmin_2.11.8.1-5+lenny5_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.