800+ IT
News
als RSS Feed abonnieren📚 phpMyAdmin bis 4.5.3 SQL Parser autoload.php Information Disclosure
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: scip.ch
Allgemein
scipID: 81043
Betroffen: phpMyAdmin bis 4.5.3
Veröffentlicht: 20.02.2016
Risiko: problematisch
Erstellt: 22.02.2016
Eintrag: 68.8% komplett
Beschreibung
In phpMyAdmin bis 4.5.3 wurde eine problematische Schwachstelle ausgemacht. Dabei geht es um eine unbekannte Funktion der Bibliothek libraries/sql-parser/autoload.php der Komponente SQL Parser. Mittels Manipulieren mit einer unbekannten Eingabe kann eine Information Disclosure-Schwachstelle (Path) ausgenutzt werden. Die Auswirkungen sind bekannt für die Vertraulichkeit.
Die Schwachstelle wurde am 20.02.2016 öffentlich gemacht. Die Verwundbarkeit wird als CVE-2016-2044 geführt. Der Angriff kann über das Netzwerk angegangen werden. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht.
Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 88474 (FreeBSD : phpmyadmin — Full path disclosure vulnerability in SQL parser (78b4ebfb-c60b-11e5-bf36-6805ca0b3d42)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family FreeBSD Local Security Checks zugeordnet.
Ein Aktualisieren auf die Version 4.5.4 vermag dieses Problem zu lösen. Von weiterem Interesse können die folgenden Einträge sein: 81039, 81040, 81041 und 81042.CVSS
Base Score: 3.5 (CVSS2#AV:N/AC:M/Au:S/C:P/I:N/A:N) [?]
Temp Score: 3.0 (CVSS2#E:ND/RL:OF/RC:ND) [?]
CPE
- cpe:/a:phpmyadmin:phpmyadmin:4.5.0
- cpe:/a:phpmyadmin:phpmyadmin:4.5.1
- cpe:/a:phpmyadmin:phpmyadmin:4.5.2
- cpe:/a:phpmyadmin:phpmyadmin:4.5.3
Exploiting
Klasse: Information Disclosure
Lokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $5k-$10k (0-day) / $2k-$5k (Heute)
Nessus ID: 88474
Nessus Name: FreeBSD : phpmyadmin — Full path disclosure vulnerability in SQL parser (78b4ebfb-c60b-11e5-bf36-6805ca0b3d42)
Nessus File: freebsd_pkg_78b4ebfbc60b11e5bf366805ca0b3d42.nasl
Nessus Family: FreeBSD Local Security Checks
Gegenmassnahmen
Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden
Upgrade: phpMyAdmin 4.5.4
Timeline
20.02.2016 | Advisory veröffentlicht
22.02.2016 | VulDB Eintrag erstellt
22.02.2016 | VulDB Eintrag aktualisiert
Quellen
CVE: CVE-2016-2044 (mitre.org) (nvd.nist.org) (cvedetails.com)
Siehe auch: 81039, 81040, 81041, 81042 , 81044
...