phpMyAdmin缝隙安全公告

颁布功夫 2019-01-28

缝隙编号和级别


CVE编号：：CVE-2019-6799，，危险级别：：严重，，CVSS分值：：官方未评定

CVE编号：：CVE-2019-6798，，危险级别：：高危，，CVSS分值：：官方未评定


影响领域


受影响版本：：

CVE-2019-6799：：

phpMyAdmin 4.0到4.8.4

CVE-2019-6798：：

phpMyAdmin 4.5.0到4.8.4


缝隙概述


phpMyAdmin是phpMyAdmin团队开发的一套免费的、、基于Web的MySQL数据库治理工具。。。该工具可能创建和删除数据库，，创建、、删除、、批改数据库表，，执行SQL剧本号令等。。。


phpMyAdmin 4.8.4之前版本中存在肆意文件读取缝隙和Designer界面中的SQL注入缝隙，，概述如下：：

CVE-2019-6799

此攻击要求 phpMyAdmin将 AllowArbitraryServer指令设置为 true 来运行，，而不是默认值。。。攻击者还必须通过假装成MySQL服务器运行恶意服务器过程。。。利用此缝隙能够读取服务器上的肆意文件。。。

CVE-2019-6798

此缝隙能够使用特定的用户名通过设计器职能触发SQL注入攻击。。。


修复建议


目前厂商已颁布升级补丁以修复缝隙，，请更新至phpMyAdmin 4.8.5. https://www.phpmyadmin.net/downloads/。。。


参考链接


https://www.phpmyadmin.net/news/2019/1/26/security-fix-phpmyadmin-485-released/

https://www.phpmyadmin.net/security/PMASA-2019-1/

https://www.phpmyadmin.net/security/PMASA-2019-2/

https://www.phpmyadmin.net/downloads/