Cảnh báo: lỗ hổng bảo mật Zero-Day trên tất cả các phiên bản phpMyadmin

Mô tả

Một chuyên gia bảo mật đã công bố 1 Proof-of-concept cho một lỗ hổng Zero-Day trong phpMyadmin – một ứng dụng phổ biển để quản lý Cơ sở dữ liệu MySQL và MarriaDB.

phpMyadmin là công cụ quản trị mã nguồn mở cho MySQL và MariaDB được sử dụng rộng dãi bởi các website tạo bằng WordPress, Joomla và rất nhiều các nền tảng quản trị nội dung khác

Được phát hiện bởi chuyên gia Manuel Garcia Cardenas , lỗ hổng được gọi là Cross-site request forgery (CSRF), kiểu tấn công này lừa các người quản trị đã đăng nhập vào hệ thống thực hiện các thao tác không mong muốn

Lỗ hổng có mã định danh CVE-2019-12922, lỗ hổng có độ nguy hiểm trung bình vì phạm vi tấn công chỉ cho phép kẻ tấn công xoá bất kỳ cấu hình ở trang setup của phpMyadmin trên máy chủ của nạn nhân.

Đây là lỗ hổng không phải là một lỗ hổng nghiêm trọng do phương thức tấn công này không cho phép kẻ tấn công xoá bất kỳ cơ sở dữ liệu hoặc bảng nào trên máy chủ.

Tất cả kẻ tấn công cần phải gửi 1 địa chỉ URL lừa đảo đến quản trị web và người quản trị cần phải đã đăng nhập vào bảng điều khiển phpMyadmin trên cùng trình duyệt thì lỗ hổng mới bị khai thác.

Trích dẫn của tác giả trong bài nghiên cứu:

“The attacker can easily create a fake hyperlink containing the request that wants to execute on behalf of the user, in this way making possible a CSRF attack due to the wrong use of HTTP method,”

Mã khai thác

lỗ hổng nằm ở phiên bản 4.9.0.1 là phiên bản phát hành mới nhất và cả phiên bản alpha 5.0.0-alpha1 tháng 7 năm 2019

Cardenas phát hiện ra lỗ hổng vào tháng 6 năm 2019 và đã thông báo cho các bên phát triển của dự án

Tuy nhiên, sau 90, các nhà phát triển vẫn chưa khắc phục lỗ hổng nên chuyên gia quyết định sẽ công bố chi tiết và PoC vào ngày 13 tháng 9

Để vá lỗ hổng này, Cardenas khuyến cáo sử dụng token khi thực hiện bất kì Request nào đến máy chủ.

Cho đến khi các nhà phát triển vá lỗ hổng này, các nhà quản trị web và nhà cung cấp tên miền nên thận trọng khi click vào bất kì đường dẫn nào khả nghi

Nguồn: TheHackerNews

Leave a Reply