phpMyAdmin ได้ออกประกาศอัปเดตความปลอดภัยหมายเลขที่ PMASA-2020-5 และ PMASA-2020-6 โดยทั้งสองประกาศนั้นได้ทำการเเก้ไขช่องโหว่ Cross Site Scripting (XSS) และ SQL injection

ตามประกาศเเรกหมายเลข PMASA-2020-5 ช่องโหว่ Cross Site Scripting (XSS) ถูกพบในฟีเจอร์ transformation โดยผู้โจมตีสามารถส่งลิงค์ JavaScript ของระบบ phpMyAdmin ที่สร้างขึ้นมาเป็นพิเศษและเป็นอันตรายไปยังเหยื่อและเมื่อเหยื่อคลิกที่ลิงค์ JavaScript จะทำงานและทำตามคำสั่งของผู้โจมตี เป้าหมายของผู้โจมตีอาจเป็นการขโมยคุกกี้สำหรับการพิสูจน์ตัวตน

ตามประกาศที่สองหมายเลข PMASA-2020-6 เป็นช่องโหว่ SQL injection ที่อยู่ในฟีเจอร์ SearchController ผู้โจมตีสามารถใช้ข้อบกพร่องนี้เพื่อทำการแทรก SQL ที่เป็นอันตรายลงใน query

ช่องโหว่ทั้งสองจะมีผลกระทบกับ phpMyAdmin เวอร์ชันก่อน 4.9.6 และเวอร์ชันก่อน 5.0.3 ทั้งนี้ผู้ใช้ควรทำการอัปเกรด phpMyAdmin เป็นเวอร์ชัน 4.9.6 หรือ 5.0.3 หรือล่าสุดเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ

ที่มา:

phpmyadmin.

พบช่องโหว่ SQL injection บน phpMyAdmin ช่องโหว่ CVE-2020-10802, CVE-2020-10803, CVE-2020-10804 รายงานโดยผู้ใช้งานทวิตเตอร์ชื่อ hoangn144_VCS, bluebird, Yutaka WATANABE
วันที่ 20 มีนาคมที่ผ่านมาได้

รายละเอียดช่องโหว่
CVE-2020-10802 (CVSS 8.0): เป็นช่องโหว่ SQL injection ที่เกิดจากการข้อผิดพลาดในการสร้างพารามิเตอร์ในขั้นตอนการค้นหาภายใน phpMyAdmin การโจมตีจะเกิดได้เมื่อผู้ใช้งานดำเนินการค้นหาด้วยการใส่อักษรพิเศษลงไปบนฐานข้อมูลหรือตารางที่ผู้โจมตีสร้างขึ้นมาเพื่อใช้ในการโจมตี

CVE-2020-10803 (CVSS 5.4): เป็นช่องโหว่ SQL injection ที่เกิดจากเรียกใช้โค้ดเพื่อจะดำเนินการแทรกข้อมูลที่สร้างขึ้นในฐานข้อมูล เมื่อผู้ใช้ทำการดึงหรือเรียกดูฐานข้อมูล จะสามารถทำการโจมตีในรูปแบบ XSS (Cross-site scripting) ได้ในการเเสดงผล

CVE-2020-10804 (CVSS 8.0): เป็นช่องโหว่ SQL injection โดยทำการดึงข้อมูล username ที่มีอยู่
และสร้าง username เพื่อหลอกให้ผู้ดูแลระบบดำเนินการบางอย่าง เช่นแก้ไขสิทธิ์ผู้ใช้งาน ช่องโหว่นี้ยังทำให้เกิดข้อผิดพลาดในการเปลี่ยนพาสเวิร์ด MySQL ของผู้ใช้

ผลกระทบ
phpMyAdmin เวอร์ชั่น 4.9.x ก่อน 4.9.5 และ เวอร์ชั่น 5.0.x ก่อน 5.0.2 ได้รับผลกระทบ

การเเก้ไข
อัปเกรด phpMyAdmin เป็นเวอร์ชั่น 4.9.5 หรือ 5.0.2 หรือใหม่กว่า

ที่มา: phpmyadmin

 

นักวิจัยปล่อยข้อมูลช่องโหว่ zero-day ใน phpMyAdmin กระทบทุกรุ่น

นักวิจัยด้านความปลอดภัยได้ทำการเปิดเผยรายละเอียดเกี่ยวกับช่องโหว่ zero-day และเผยแพร่โค้ด proof-of-concept สำหรับช่องโหว่ในตัว phpMyAdmin ซึ่งเป็นหนึ่งในแอปที่โด่งดังในการจัดการฐานข้อมูล MySQL และ MariaDB บนเว็บไซต์ เป็น opensource

นักวิจัยและนักเจาะระบบ Manuel Garcia Cardenas พบช่องโหว่ที่ทำให้โจมตีด้วยวิธีการ cross-site request forgery (CSRF) หรือที่เรารู้จักในชื่อ XSRF ซึ่งเป็นการโจมตีที่หลอกให้ผู้ใช้งานทำสิ่งที่แฮกเกอร์ต้องการโดยไม่ตั้งใจ

ช่องโหว่ดังกล่าวได้รับ CVE-2019-12922 จัดอยู่ในระดับปานกลาง เนื่องจากมีข้อจำกัดที่อนุญาตให้ผู้โจมตีลบการตั้งค่าของเซิร์ฟเวอร์ในหน้าการตั้งค่า phpMyAdmin บนเซิร์ฟเวอร์ของเหยื่อเท่านั้น ไม่สามารถใช้เพื่อลบข้อมูลบนฐานข้อมูลได้

ผู้โจมตีจะต้องส่ง URL ที่สร้างขึ้นให้ผู้ดูแลเว็บไซต์เป้าหมายที่กำลังข้าถึง phpMyAdmin อยู่บนเบราว์เซอร์เดียวกันแล้วหลอกให้พวกเขาลบการตั้งค่าของเซิร์ฟเวอร์โดยไม่รู้ตัวเพียงแค่คลิก URL

ข้อบกพร่องมีผลต่อ phpMyAdmin เวอร์ชันสูงสุดและรวมถึง 4.9.0.1 ซึ่งเป็นซอฟต์แวร์รุ่นล่าสุดในขณะนี้ และยังกระทบ phpMyAdmin 5.0.0-alpha1 ซึ่งยังอยู่ในขั้นทดสอบ

Cardenas ค้นพบช่องโหว่นี้ในเดือนมิถุนายน 2562 และรายงานความรับผิดชอบไปยังผู้ดูแลโครงการ แต่ผู้ดูแลระบบ phpMyAdmin ไม่สามารถแก้ไขช่องโหว่ภายใน 90 วันหลังจากได้รับแจ้ง นักวิจัยจึงตัดสินใจที่จะเปิดเผยรายละเอียดช่องโหว่และ PoC ต่อสาธารณะในวันที่ 13 กันยายน ผู้ดูแลเว็บไซต์และผู้ให้บริการโฮสต์ขอแนะนำให้หลีกเลี่ยงการคลิกลิงก์ที่น่าสงสัยจนกว่าผู้ดูแลโครงการ phpMyAdmin จะแก้ไขช่องโหว่

ที่มา:thehackernews

โครงการ phpMyAdmin ประกาศแพตช์สำหรับช่องโหว่ SQL Injection และ CSRF

โครงการ phpMyAdmin ประกาศแพตช์สำหรับช่องโหว่รหัส CVE-2019-11768 (PMSA-2019-3) และ CVE-2019-12616 (PMSA-2019-4) วันนี้ โดยเป็นช่องโหว่ SQL Injection และ CSRF ตามลำดับ

ช่องโหว่ CVE-2019-11768 เป็นช่องโหว่ SQL Injection ในส่วน Designer Feature โดยตรวจพบกับ phpMyAdmin เวอร์ชันก่อน 4.8.6 ซึ่งจะเกิดขึ้นเมื่อผู้โจมตีมีการสร้างฐานข้อมูลด้วยชื่อแบบพิเศษซึ่งจะทำให้เกิดเงื่อนไขของ SQL Injection

ในส่วนของช่องโหว่ CVE-2019-12616 นั้น เป็นช่องโหว่ประเภท CSRF ที่หน้าล็อกอินของ phpMyAdmin โดยผู้โจมตีสามารถทำการโจมตีผ่าน HTML tag ที่มีการพัฒนาอย่างไม่ปลอดภัยเพื่อใช้สิทธิ์ของผู้ใช้งานในการส่งคำสั่งที่เป็นอันตรายไปยังระบบได้ ช่องโหว่นี้กระทบ phpMyAdmin ก่อนรุ่น 4.9.0 โดยให้ทำการอัปเดตเป็นเวอร์ชันใหม่กว่าเพื่อรับการแก้ไขช่องโหว่

ที่มา: PMASA-2019-3 , PMASA-2019-4

พบช่องโหว่ร้ายแรงมากใน phpMyAdmin ผู้ดูแลระบบควรอัปเดตแพตช์
เมื่อวันที่ 22 มกราคม 2019 phpMyAdmin ได้ออกแพตช์สำหรับแก้ไขช่องโหว่สองช่องโหว่ คือ CVE 2019-6798 และ CVE 2019-6799 ช่องโหว่ทั้งสองส่งผลกระทบกับ phpMyAdmin รุ่น 4.0 ไปจนถึงรุ่น 4.8.4
โดย CVE 2019-6798 เป็นช่องโหว่ที่ทำให้ผู้ไม่หวังดีสามารถอ่านไฟล์ใดๆ บน web server ได้ ส่วนช่องโหว่ CVE 2019-6799 เป็นช่องโหว่ที่ทำให้สามารถทำ SQL injection ได้จากหน้า Designer feature ของ phpMyAdmin
ผู้ดูแลระบบควรอัปเดต phpMyAdmin ให้เป็นรุ่น 4.8.5 หรือใหม่กว่า
ที่มา https://www.

พบช่องโหว่ XSS CVE-2018-15605 ใน phpMyAdmin เป็นช่องโหว่ในส่วน file import ทำให้ผู้โจมตีสามารถใส่คำสั่ง Payload เพื่อโจมตีผู้ใช้ผ่านทางไฟล์ที่สร้างขึ้นเป็นพิเศษด้วยการ import ไฟล์นั้น โดยความความรุนแรงของช่องโหว่นี้อยู่ในระดับปานกลางและมีผลกับ phpMyAdmin เวอร์ชันเก่ากว่า 4.8.3

อัปเดตเป็น phpMyAdmin รุ่น 4.8.3 หรือใหม่กว่า หรือสามารถแพตช์ช่องโหว่นี้ได้โดยดูรายละเอียดจาก
github

ที่มา : phpmyadmin

โครงการ phpMyAdmin ประกาศแพตช์ช่องโหว่ความปลอดภัยรหัส CVE-2018-12581 และ CVE-2018-12613 เมื่อปลายสัปดาห์ที่ผ่านมา โดยช่องโหว่ที่มีการประกาศแพตช์นั้นมีทั้งช่องโหว่ประเภท XSS, LFI และ RCE

ช่องโหว่แรกรหัส CVE-2018-12581 ถูกค้นพบโดย William Desportes โดยค้นพบช่องโหว่ XSS ในฟีเจอร์ Designer ซึ่งส่งผลให้ผู้โจมตีสามารถสร้างการโจมตีที่เป็นอันตรายที่จะถูกสั่งให้ทำงานโดยผู้ใช้งานผ่านทางฟิลด์ชื่อของฐานข้อมูลได้

ช่องโหว่ที่สองรหัส CVE-2018-12613 ถูกค้นพบโดย Huang Henry โดยเป็นช่องโหว่แบบ LFI ที่ผู้โจมตีจำเป็นต้องมีการพิสูจน์ตัวตนกับระบบก่อน ช่องโหว่นี้มีที่มาจากการที่ phpMyAdmin ในไฟล์ที่ผู้ใช้งานมาอัปโหลดและทำการแสดงผล รวมไปถึงปัญหาในการ whitelist ของซอฟต์แวร์เองซึ่งทำให้เกิดการรันโค้ดที่เป็นอันตรายได้
สำหรับช่องโหว่รหัส CVE-2018-12613 ผู้ใช้งานซอฟต์แวร์สามารถป้องกันการโจมตีในเบื้องต้นได้โดยการตั้งค่า "open_basedir", "$cfg['AllowArbitraryServer'] " และ "$cfg['ServerDefault']" อย่างเหมาะสม

ดำเนินการอัปเดตซอฟต์แวร์ phpMyAdmin ไปเป็นเวอร์ชันที่มีการแพตช์แล้วคือเวอร์ชัน 4.8.2 โดยด่วน

ที่มา : phpMyAdmin

โครงการ phpMyAdmin ได้ออกแพตช์ใหม่รหัส PMASA-2018-1 (CVE-2018-7260) หลังจากที่ Mayur Udinya ค้นพบช่องโหว่ XSS ซึ่งทำให้เกิดการการขโมย session cookie ได้ กระทบต่อ phpMyAdmin ก่อนหน้า 4.7.8

ช่องโหว่ดังกล่าวนั้นเกิดขึ้นบน db_central_columns.

แจ้งเตือนช่องโหว่ XSRF/CSRF บน phpMyAdmin ความร้ายแรงระดับ Critical

โครงการ phpMyAdmin ได้มีการปล่อยแพตช์ช่องโหว่รหัส PMASA-2017-9 ซึ่งเป็นช่องโหว่ XSRF/CSRF ที่ถูกระบุว่ามีความร้ายแรงระดับสูงสุด (critical) เมื่อช่วงปลายเดือนที่ผ่านมา โดยมีเวอร์ชันที่ได้รับผลกระทบคือเวอร์ชัน 4.7.x (ก่อนหน้า 4.7.7)

ช่องโหว่ Cross-site Request Forgery (CSRF) เป็นช่องโหว่ที่เกิดจากการไม่ตรวจสอบแหล่งที่มาของข้อมูลที่ถูกส่งมาเว็บแอปพลิเคชันที่ชัดเจน รวมไปถึงไม่มีการป้องกันการส่งข้อมูลในลักษณะดังกล่าวที่เหมาะสม เช่น ผู้โจมตีอาจใช้ช่องโหว่นี้ในการหลอก/บังคับให้ผู้ใช้งานคลิก URL ที่ผู้โจมตีเตรียมไว้เพื่อใช้ประโยชน์จากสิทธิ์หรือการยืนยันตัวตนของผู้ใช้งาน ส่งผลเป็นการโจมตีระบบได้

แพตช์สำหรับช่องโหว่นี้มาแล้ว แนะนำให้ตรวจสอบรายละเอียดแพตช์จากแหล่งที่มา

Recommendation: แพตช์สำหรับช่องโหว่นี้มาแล้ว แนะนำให้ตรวจสอบรายละเอียดแพตช์จากแหล่งที่มา

ที่มา phpmyadmin