Phpmyadmin exploit !

[dennis1309]

Beste wht,

Ik kreeg dit doorgestuurd.
Weet iemand hier meer van?
Tevens ook ter info.

Laatst was het webmail en nu zeggen ze weer phpmyadmin.
Ik ben benieuwd hoe jullie hier over denken?

-----------------------------------------------------------
phpmyadmin heeft een veiligheidslek.

Zie deze link voor de versies die gevoelig zijn:

http://www.securityfocus.com/bid/28068
Hiermee kan men databases zonder ook maar 1 wachtwoord op te geven leeg vegen.
De fix:

Met het volgende kun je phpmyadmin updaten naar versie 3.0.0 die is veilig voor de exploit.

wget -O /usr/local/directadmin/scripts/packages/phpMyAdmin-3.0.0-all-languages.tar.gz http://dfn.dl.sourceforge.net/sourceforge/phpmyadmin/phpMyAdmin-3.0.0-all-languages.tar.gz
tar xzf /usr/local/directadmin/scripts/packages/phpMyAdmin-3.0.0-all-languages.tar.gz -C /var/www/html
cp -f /var/www/html/phpMyAdmin-3.0.0-all-languages/config.sample.inc.php /var/www/html/phpMyAdmin-3.0.0-all-languages/config.inc.php
perl -pi -e \"s#\\[\'auth_type\'\\] = \'cookie\'#\\[\'auth_type\'\\] = \'http\'#\" /var/www/html/phpMyAdmin-3.0.0-all-languages/config.inc.php

#Hooray! We have mysqli support now :)
perl -pi -e \"s#\\[\'extension\'\\] = \'mysql\'#\\[\'extension\'\\] = \'mysqli\'#\" /var/www/html/phpMyAdmin-3.0.0-all-languages/config.inc.php

chown -f -R webapps:webapps /var/www/html/phpMyAdmin-3.0.0-all-languages
chmod -f 755 /var/www/html/phpMyAdmin-3.0.0-all-languages
chmod 000 /var/www/html/phpMyAdmin-3.0.0-all-languages/scripts
rm -f /var/www/html/phpMyAdmin
ln -s /var/www/html/phpMyAdmin-3.0.0-all-languages /var/www/html/phpMyAdmin

[bvankuik]

Dit is een relatief oudere versie voor zover ik weet. Mijn CentOS 5.0 servers (toch niet de jongste) hebben allemaal een nieuwere versie.

Bovendien is phpMyAdmin sowieso een gevaarlijk stuk software dat je door je distro moet laten packagen en meenemen in het update proces.

[Wido]

Zucht, waarom denkt nou iedereen dat je ZO maar toegang tot alle databases hebt.

Zolang jij in phpMyAdmin in de configuratie GEEN MySQL user/passwords hebt staan, dus HTTP danwel COOKIE als authenticate methode gebruikt dan kan niemand van buitenaf wat met de data.

MySQL zal namelijk altijd nog de authenticatie en authorisatie afhandelen, dus zo maar databases weg gooien is echt niet mogelijk.

[Triloxigen]

Als de rechten in MySQL goed zijn kan phpMyAdmin daar echt niet omheen.

En als je root wachtwoorden hardcoded in dat soort config bestanden zet dan moet je eens je security policy heroverwegen ;)