Podatności phpMyAdmin

phpMyAdmin w wersjach 4.0, 4.4 i 4.6 jest podatny na atak typu DoS w statusie replikacji poprzez użycie specjalnie skonstruowanej nazwy tabeli.

phpMyAdmin w wersjach 4.0, 4.4 i 4.6 jest podatny na słabość, która pozwala użytkownikowi z odpowiednimi uprawnieniami na połączenie z dowolnym serwerem MySQL.

phpMyAdmin w wersjach 4.0, 4.4 i 4.6 jest podatny na słabość typu DoS w funkcjonalności edytowania tabel.

Skrypt instalacyjny phpMyAdmin w wersjach przed 4.0.10.19, 4.4.x przed 4.4.15.10 oraz 4.6.x przed 4.6.6 umożliwia zdalnym atakującym przeprowadzenie ataków typu server-side request forgery (SSRF) za pomocą nieokreślonych wektorów.

W phpMyAdmin odkryto problem, który pozwala na wstrzykiwanie zapytań SQL poprzez spreparowaną nazwę użytkownika lub tabeli w funkcjonalności śledzenia. Wykonane zapytania działają z uprawnieniami użytkownika kontrolnego, co umożliwia dostęp do tabel bazy danych konfiguracji oraz, w przypadku odpowiednich uprawnień, do niektórych tabel bazy danych MySQL.

W phpMyAdmin odkryto problem, który pozwala na przeprowadzenie ataku typu Denial of Service (DoS) poprzez bardzo duże żądanie do funkcji partycjonowania tabeli. Dotyczy to wszystkich wersji 4.6.x przed 4.6.5.

W phpMyAdmin odkryto problem, który pozwala na wstrzyknięcie BBCode na stronie logowania za pomocą odpowiednio skonstruowanego żądania logowania. Wszystkie wersje 4.6.x (przed 4.6.5) są podatne.

W phpMyAdmin odkryto problem związany z ograniczeniem w dopasowywaniu URL, co umożliwia obejście ochrony białej listy URL. Dotyczy to wersji 4.6.x (przed 4.6.5), 4.4.x (przed 4.4.15.9) oraz 4.0.x (przed 4.0.10.18).

W phpMyAdmin odkryto problem, który może prowadzić do zdalnego wykonania kodu w niektórych instalacjach PHP z włączonym rozszerzeniem dbase. Dotyczy to wersji 4.6.x (przed 4.6.4), 4.4.x (przed 4.4.15.8) oraz 4.0.x (przed 4.0.10.17).

W phpMyAdmin odkryto problem, który pozwala na zdalne wykonanie kodu, gdy aplikacja działa jako CGI. Użytkownik może przekazać ciąg zapytania, który jest wykonywany jako argument wiersza poleceń przez plik generator_plugin.sh.

W phpMyAdmin odkryto problem związany z możliwością wykonania ataku SQL injection poprzez funkcję preferencji interfejsu użytkownika. Dotyczy to wersji 4.6.x (przed 4.6.4), 4.4.x (przed 4.4.15.8) oraz 4.0.x (przed 4.0.10.17).

W phpMyAdmin odkryto problem, który pozwala na przeprowadzenie ataku SQL injection poprzez funkcjonalność eksportu, wykorzystując specjalnie przygotowaną nazwę bazy danych lub tabeli. Dotyczy to wszystkich wersji 4.6.x przed 4.6.4.

W phpMyAdmin zidentyfikowano problem, który umożliwia atak SQL injection w funkcjach 'Grupa użytkowników' i 'Projektant'. Atakujący może wykorzystać tę podatność przeciwko kontu użytkownika kontrolnego. Dotyczy to wersji 4.6.x (przed 4.6.4) oraz 4.4.x (przed 4.4.15.8).

W phpMyAdmin odkryto problem, który pozwala na przeprowadzenie ataku SQL injection poprzez specjalnie skonstruowaną nazwę bazy danych lub tabeli w funkcji eksportu. Dotyczy to wersji 4.6.x (przed 4.6.4), 4.4.x (przed 4.4.15.8) oraz 4.0.x (przed 4.0.10.17).

W phpMyAdmin odkryto problem, który pozwala na wykonanie dowolnych poleceń PHP poprzez specjalnie skonstruowaną nazwę bazy danych w funkcji eksportu tablicy. Dotyczy to wersji 4.6.x (przed 4.6.4), 4.4.x (przed 4.4.15.8) oraz 4.0.x (przed 4.0.10.17).

W phpMyAdmin odkryto problem z szyfrowaniem ciasteczek. Deszyfrowanie nazwy użytkownika i hasła jest podatne na atak oracle padding, co pozwala atakującemu na odszyfrowanie tych danych, jeśli ma dostęp do pliku ciasteczek przeglądarki użytkownika.

Implementacja Transformacji w phpMyAdmin w wersjach 4.0.x przed 4.0.10.16, 4.4.x przed 4.4.15.7 oraz 4.6.x przed 4.6.3 nie wykorzystuje mechanizmu ochrony Content Security Policy (CSP) z no-referrer, co ułatwia zdalnym atakującym przeprowadzanie ataków CSRF poprzez odczytanie tokena uwierzytelniającego w nagłówku Referer.

W phpMyAdmin w wersjach 4.0.x przed 4.0.10.16, 4.4.x przed 4.4.15.7 oraz 4.6.x przed 4.6.3 występuje podatność, która pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez przesłanie dużej tablicy w parametrze scripts.

W phpMyAdmin w wersjach 4.0.x przed 4.0.10.13, 4.4.x przed 4.4.15.3 oraz 4.5.x przed 4.5.4 występuje podatność związana z porównywaniem tokenów CSRF, które nie wykorzystuje algorytmu o stałym czasie. To umożliwia zdalnym atakującym ominięcie zamierzonych ograniczeń dostępu poprzez pomiar różnic czasowych.

Funkcja suggestPassword w phpMyAdmin przed wersją 4.0.10.13, 4.4.15.3 i 4.5.4 polega na funkcji Math.random w JavaScript, co ułatwia zdalnym atakującym odgadywanie haseł metodą brute-force.

Podatność SQL Injection w phpMyAdmin 5.x przed wersją 5.2.0, występująca w funkcji getTableCreationQuery w pliku CreateAddField.php. Atakujący może wstrzyknąć złośliwe zapytania SQL poprzez parametry tbl_storage_engine lub tbl_collation w żądaniu do tbl_create.php.

W phpMyAdmin odkryto problem związany z niewłaściwym usuwaniem tokena CSRF z URL zwrotnego akcji importu preferencji, gdy arg_separator różni się od domyślnej wartości '&'. Dotyczy to wersji 4.6.x (przed 4.6.5), 4.4.x (przed 4.4.15.9) oraz 4.0.x (przed 4.0.10.18).

W phpMyAdmin odkryto problem związany z błędem w analizie zserializowanych ciągów, co umożliwia obejście ochrony oferowanej przez funkcję PMA_safeUnserialize().

W phpMyAdmin odkryto problem, który pozwala na obejście ograniczenia AllowRoot oraz reguł odmowy dla nazwy użytkownika poprzez użycie Null Byte w nazwie użytkownika. Dotyczy to wersji 4.6.x (przed 4.6.5), 4.4.x (przed 4.4.15.9) oraz 4.0.x (przed 4.0.10.18).

W phpMyAdmin odkryto problem związany z dyrektywą konfiguracyjną $cfg['ArbitraryServerRegexp']. Atakujący mógł ponownie wykorzystać niektóre wartości ciasteczek, co pozwalało na ominięcie serwerów zdefiniowanych przez ArbitraryServerRegexp.

W phpMyAdmin odkryto problem związany z funkcją PHP unserialize(), która nie weryfikuje poprawności danych przed ich deserializacją. Może to prowadzić do wykonania złośliwego kodu w wyniku interakcji z instancjonowaniem obiektów i autoloadingiem.

phpMyAdmin w wersjach 4.0.x przed 4.0.10.16, 4.4.x przed 4.4.15.7 oraz 4.6.x przed 4.6.3 nieprawidłowo wybiera delimitery, co może umożliwić zdalnym atakującym wykonanie dowolnego kodu PHP za pomocą spreparowanego ciągu.

W phpMyAdmin w wersjach 4.4.x przed 4.4.15.7 oraz 4.6.x przed 4.6.3 występuje podatność na wstrzyknięcie SQL w pliku libraries/central_columns.lib.php. Atakujący zdalnie mogą wykonać dowolne polecenia SQL poprzez odpowiednio skonstruowaną nazwę bazy danych, która jest niewłaściwie obsługiwana w zapytaniu centralnym.

phpMyAdmin w wersjach do 5.2.3 zawiera podatność na przechowywany cross-site scripting (XSS), która pozwala użytkownikom bazy danych z uprawnieniem CREATE wstrzyknąć skrypt poprzez nieescapowane nazwy tabel w DesignerHistory.display(). Atakujący może utworzyć tabelę, której nazwa zawiera znaczniki HTML, które wykonają się w sesji innego użytkownika, gdy doda on warunek na tej tabeli w trybie zapytań Designera.

phpMyAdmin w wersjach do 5.2.3 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom wstrzyknąć SQL poprzez dostarczenie nieescapowanych wartości col_extra i col_attribute do /database/central-columns. Atakujący może wstrzyknąć SQL do zapytań INSERT i UPDATE pma__central_columns wykonywanych z uprawnieniami controluser, odczytując lub modyfikując dane konfiguracyjne innych użytkowników.

phpMyAdmin w wersjach do 5.2.3 zawiera podatność na obejście uwierzytelniania w CustomServer::parseAndValidateAssertionResponse(), która nigdy nie weryfikuje podpisów asercji WebAuthn względem przechowywanych kluczy publicznych. Atakujący posiadający poświadczenia MySQL ofiary może wysłać spreparowany webauthn_request_response z pasującym challenge, origin i rpIdHash, aby obejść drugi czynnik i uzyskać uprawnienia do bazy danych.

phpMyAdmin w wersjach do 5.2.3 zawiera podatność polegającą na braku ponownego uwierzytelnienia, która pozwala uwierzytelnionym atakującym usunąć uwierzytelnianie dwuskładnikowe poprzez przesłanie klucza 2fa do /config/set. Atakujący posiadający przejętą sesję może przesłać key=2fa z wartością JSON null do SetConfigController, usuwając 2FA, tak że kolejne logowania wymagają jedynie hasła MySQL.

phpMyAdmin do wersji 5.2.3 zawiera podatność typu server-side request forgery, która pozwala nieuwierzytelnionym atakującym na wywoływanie połączeń wychodzących poprzez setup/validate.php, który nie ma zabezpieczenia przed wyłączonym setupem. Atakujący mogą wysłać metodą POST wybrane przez siebie wartości host i port, docierając do Validator::testDBConnection(), aby otwierać połączenia w protokole MySQL i sondować wewnętrzne porty za pomocą zwracanych komunikatów błędów.

phpMyAdmin w wersjach do 5.2.3 zawiera podatność SQL injection w funkcji Designer saveSetting(), która pozwala uwierzytelnionym użytkownikom wstrzykiwać SQL poprzez nieescapowany wynik json_encode(). Atakujący mogą wysyłać spreparowane parametry index lub value z operation=save_setting_value do /database/designer, aby nadpisać ustawienia designera innych użytkowników lub uruchomić podzapytania controluser.

phpMyAdmin do wersji 5.2.3 zawiera podatność typu cross-site request forgery, która pozwala zdalnym atakującym wykonywać dowolny SQL poprzez obejście sprawdzania tokenów CSRF w żądaniach POST niebędących AJAX. Atakujący może nakłonić uwierzytelnioną ofiarę do wysłania międzydomenowego żądania POST z parametrem sql_query do /sql lub /database/sql, wykonując SQL z uprawnieniami bazy danych ofiary w trybie uwierzytelniania http lub config.