phpMyAdmin, en af de mest anvendte applikationer til at styre MySQL-databasen, har vist sig at indeholde en seriøs sikkerhedsbrist. Sårbarheden kan give fjernadgang til angriberne at tillade dem at udføre tvivlsomme database operationer ved at lokke admins til at klikke på et særligt udformet link.
Dette gør sårbarheden på tværs af websteder anmodning forfalskning (XSRF) en, og det påvirker phpMyAdmin versioner før version, 4.7.7, hvilket betyder, at versioner ældre end 4.7.0 påvirkes ikke. Den fejl, der er tildelt CVE-2017-1000499 nummer blev udgravet af sikkerhed forsker Ashutosh Barot.
CVE-2017-1000499 I Detail
Sårbarheden kan udløses “ved at bedrage en bruger til at klikke på en fabrikeret URL", hvilket kan føre til udførelsen af skadelige databasehandlinger såsom sletning af poster, nedkastninger / trunkerings- tabeller, og sådan.
Ifølge ham selv forskeren, “hvis en bruger udfører en forespørgsel i databasen ved at klikke indsats, DRÅBE, etc. knapper, URL'en vil indeholde database navn og tabelnavn.”Den aktive udnyttelse af denne fejl kan føre til forskellige udfald såsom afsløring af følsomme oplysninger. Denne offentliggørelse er muligt, fordi den webadresse opbevares ved forskellige steder som browser historie, SIEM logfiler, Firewall-log, ISP logfiler, blandt andre.
Sårbarheden er ganske farlig. Først og fremmest, phpMyAdmin er et gratis og open source admin-værktøj til MySQL og MariaDB. Det er populært og meget brugt til at administrere databaser til websteder, der blev oprettet via CMS-platforme som WordPress og Joomla. Endvidere, hosting-udbydere er også kendt for at bruge phpMyAdmin efter en nem måde at organisere kundernes databaser.
Forskeren, der opdagede CVE-2017-1000499 også demonstreret i en video, hvordan en fjern hacker kan narre database administratorer i at slette en hel tabel fra DB blot ved at klikke på en særligt udformet link.
En funktion i phpMyAdmin var ved hjælp af en GET-anmodning, og efter at POST anmodning om Database operationer såsom DROP TABLE tabelnavn; GET anmodninger skal beskyttes mod CSRF angreb. I dette tilfælde, POST anmodninger blev anvendt som blev sendt gennem URL (til bogmærker formål kan være); det var muligt for en hacker at narre en database admin til at klikke på en knap og udføre en dråbe tabel databaseforespørgsel af angriberens valg.
Heldigvis, det er ikke så let at udnytte CVE-2017-1000499 og at foretage en CSRF angreb som angriberen bør kende navnet på den målrettede database og tabel.
Forskeren rapporterede CVE-2017-1000499 til udviklerne af phpMyAdmin, der var hurtig nok til at bekræfte fejl og løse det i phpMyAdmin 4.7.7. Hvis du mener, du kan være påvirket af fejlen, det er meget tilrådeligt at opdatere til den nyeste version.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: