Debians sikkerhedsbulletin

DSA-3627-1 phpmyadmin -- sikkerhedsopdatering

Rapporteret den:
24. jul 2016
Berørte pakker:
phpmyadmin
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Mitres CVE-ordbog: CVE-2016-1927, CVE-2016-2039, CVE-2016-2040, CVE-2016-2041, CVE-2016-2560, CVE-2016-2561, CVE-2016-5099, CVE-2016-5701, CVE-2016-5705, CVE-2016-5706, CVE-2016-5731, CVE-2016-5733, CVE-2016-5739.
Yderligere oplysninger:

Flere sårbarheder er rettet i phpMyAdmin, den webbaserede administrative grænseflade til MySQL.

  • CVE-2016-1927

    Funktionen suggestPassword var afhængig af en tilfældigt tal-generator, som var usikker, hvilket gjorde det lettere for fjernangribere at gætte genererede adgangskoder gennem en råstyrkeindgangsvinkel.

  • CVE-2016-2039

    CSRF-tokenværdier blev genereret af en usikker tilfældigt tal-generator, hvilket gjorde det muligt for fjernangirbere at omgå tilsigtede adgangsbegrænsninger ved at forudsige en værdi.

  • CVE-2016-2040

    Adskillige sårbarheder i forbindelse med udførelse af skripter på tværs af websteder (XSS), gjorde det muligt for fjernautentificerede brugere at indsprøjte webskript eller HTML.

  • CVE-2016-2041

    phpMyAdmin anvendte ikke en kontant tid-algoritme til sammenligning af CSRF-tokens, hvilket gjorde det lettere for fjernangribere at omgå tilsigtede adgangsbegrænsninger ved at måle tidsforskelle.

  • CVE-2016-2560

    Adskillige sårbarheder i forbindelse med udførelse af skripter på tværs af websteder (XSS), tillod at fjernangribere kunne indsprøjte vilkårligt webskript eller HTML.

  • CVE-2016-2561

    Adskillige sårbarheder i forbindelse med udførelse af skripter på tværs af websteder (XSS), tillod at fjernangribere kunne indsprøjte vilkårligt webskript eller HTML.

  • CVE-2016-5099

    Adskillige sårbarheder i forbindelse med udførelse af skripter på tværs af websteder (XSS), tillod at fjernangribere kunne indsprøjte vilkårligt webskript eller HTML.

  • CVE-2016-5701

    I installationer hvor der anvendes almindelig HTTP, tillod phpMyAdmin at fjernangribere kunne foretage BBCode-indsprøjtningsangreb mod HTTP-sessioner gennem en fabrikeret URI.

  • CVE-2016-5705

    Adskillige sårbarheder i forbindelse med udførelse af skripter på tværs af websteder (XSS), tillod at fjernangribere kunne indsprøjte vilkårligt webskript eller HTML.

  • CVE-2016-5706

    phpMyAdmin tillod af fjernangribere kunne forårsage et lammelsesangreb (ressourceforbrug) gennem et stort array in scripts-parameteret.

  • CVE-2016-5731

    En sårbarhed i forbindelse med udførelse af skripter på tværs af websteder (XSS), tillod at fjernangribere kunne indsprøjte vilkårlig webskript eller HTML.

  • CVE-2016-5733

    Adskillige sårbarheder i forbindelse med udførelse af skripter på tværs af websteder (XSS), tillod at fjernangribere kunne indsprøjte vilkårligt webskript eller HTML.

  • CVE-2016-5739

    En særligt fremstillet Transformation kunne føre til informationslækage, hvilket en fjernangriber kunne anvende til at udføre forspørgselsforfalskninger på tværs af servere.

I den stabile distribution (jessie), er disse problemer rettet i version 4:4.2.12-2+deb8u2.

I den ustabile distribution (sid), er disse problemer rettet i version 4:4.6.3-1.

Vi anbefaler at du opgraderer dine phpmyadmin-pakker.