โครงการ phpMyAdmin ประกาศแพตช์ช่องโหว่ความปลอดภัยรหัส CVE-2018-12581 และ CVE-2018-12613 เมื่อปลายสัปดาห์ที่ผ่านมา โดยช่องโหว่ที่มีการประกาศแพตช์นั้นมีทั้งช่องโหว่ประเภท XSS, LFI และ RCE
ช่องโหว่แรกรหัส CVE-2018-12581 ถูกค้นพบโดย William Desportes โดยค้นพบช่องโหว่ XSS ในฟีเจอร์ Designer ซึ่งส่งผลให้ผู้โจมตีสามารถสร้างการโจมตีที่เป็นอันตรายที่จะถูกสั่งให้ทำงานโดยผู้ใช้งานผ่านทางฟิลด์ชื่อของฐานข้อมูลได้
ช่องโหว่ที่สองรหัส CVE-2018-12613 ถูกค้นพบโดย Huang Henry โดยเป็นช่องโหว่แบบ LFI ที่ผู้โจมตีจำเป็นต้องมีการพิสูจน์ตัวตนกับระบบก่อน ช่องโหว่นี้มีที่มาจากการที่ phpMyAdmin ในไฟล์ที่ผู้ใช้งานมาอัปโหลดและทำการแสดงผล รวมไปถึงปัญหาในการ whitelist ของซอฟต์แวร์เองซึ่งทำให้เกิดการรันโค้ดที่เป็นอันตรายได้
สำหรับช่องโหว่รหัส CVE-2018-12613 ผู้ใช้งานซอฟต์แวร์สามารถป้องกันการโจมตีในเบื้องต้นได้โดยการตั้งค่า "open_basedir", "$cfg['AllowArbitraryServer'] " และ "$cfg['ServerDefault']" อย่างเหมาะสม
ดำเนินการอัปเดตซอฟต์แวร์ phpMyAdmin ไปเป็นเวอร์ชันที่มีการแพตช์แล้วคือเวอร์ชัน 4.8.2 โดยด่วน
ที่มา : phpMyAdmin
You must be logged in to post a comment.