๐ phpMyAdmin bis 4.6.1 url.php Information Disclosure
๐ก Newskategorie: Sicherheitslรผcken
๐ Quelle: vuldb.com
Es wurde eine problematische Schwachstelle in phpMyAdmin bis 4.6.1 gefunden. Es betrifft eine unbekannte Funktion der Datei url.php. Durch Manipulieren mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle (SQL) ausgenutzt werden. Auswirkungen hat dies auf die Vertraulichkeit.
Die Schwachstelle wurde am 25.05.2016 als PMASA-2016-14 in Form eines bestätigten Advisories (Website) publiziert. Das Advisory kann von phpmyadmin.net heruntergeladen werden. Die Identifikation der Schwachstelle wird mit CVE-2016-5097 vorgenommen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt.
Ein Aktualisieren auf die Version 4.6.2 vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Die Entwickler haben daher unmittelbar gehandelt.
Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityTracker (ID 1035978) dokumentiert. Mit dieser Schwachstelle verwandte Einträge finden sich unter 87646 und 87647.
CVSS
Base Score: 4.3 (CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N) [?]Temp Score: 3.7 (CVSS2#E:ND/RL:OF/RC:C) [?]
CPE
Exploiting
Klasse: Information DisclosureLokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $5k-$10k (0-day) / $2k-$5k (Heute)
Gegenmassnahmen
Empfehlung: UpgradeStatus: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt
Upgrade: phpMyAdmin 4.6.2
Timeline
25.05.2016 Advisory veröffentlicht25.05.2016 Gegenmassnahme veröffentlicht
27.05.2016 SecurityTracker Eintrag erstellt
28.05.2016 VulDB Eintrag erstellt
29.05.2016 VulDB Eintrag aktualisiert
Quellen
Advisory: PMASA-2016-14Status: Bestätigt
CVE: CVE-2016-5097 (mitre.org) (nvd.nist.org) (cvedetails.com)
SecurityTracker: 1035978 - phpMyAdmin Flaw Lets Remote Users Obtain Potentially Sensitive SQL Query Parameters from URLs
Siehe auch: 87646 , 87647
Eintrag
Erstellt: 29.05.2016Eintrag: 76.8% komplett
...