BDU:2020-03949

Уязвимость функции конструктора (designer/move.js file) веб-приложения для администрирования систем управления базами данных phpMyAdmin, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2020-08-19

Описание

Уязвимость функции конструктора (designer/move.js file) веб-приложения для администрирования систем управления базами данных phpMyAdmin связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Затрагиваемое ПО и версии

OpenSUSE Leap (42.3)Fedora (29)OpenSUSE Leap (15.0)OpenSUSE Leap (15.1)Fedora (30)openSUSE Backports (SLE-15)openSUSE Backports (SLE-15-SP1)phpMyAdmin (до 4.9.0.1)

Способ устранения

Использование рекомендаций:
Для phpMyAdmin:
https://www.phpmyadmin.net/security/PMASA-2019-3/

Для программных продуктов Novell Inc.:
http://lists.opensuse.org/opensuse-security-announce/2019-07/msg00005.html
http://lists.opensuse.org/opensuse-security-announce/2019-08/msg00017.html

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/II4HC4QO6WUL2IRSQKCB66UBJOLLI5OV/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZKJMYVXEDXGEGRO42T6H6VOEZJ65QPQ7/

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

http://lists.opensuse.org/opensuse-security-announce/2019-07/msg00005.html http://lists.opensuse.org/opensuse-security-announce/2019-08/msg00017.html http://www.securityfocus.com/bid/108617 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/II4HC4QO6WUL2IRSQKCB66UBJOLLI5OV/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZKJMYVXEDXGEGRO42T6H6VOEZJ65QPQ7/https://www.phpmyadmin.net/security/PMASA-2019-3/

Проверьте безопасность своего сайта и почты → Полная проверка домена