phpMyAdmin 4.0.x < 4.0.10.10 / 4.2.x < 4.2.13.3 / 4.3.x < 4.3.13.1 / 4.4.x < 4.4.6.1 多個弱點 (PMASA-2015-2、PMASA-2015-3)
medium Nessus Plugin ID 143273
語系：
概要
遠端 Web 伺服器主控一個受多個弱點影響的 PHP 應用程式。說明
根據其自我報告的版本，遠端 Web 伺服器上主控的 phpMyAdmin 應用程式為 4.0.10.10 之前的 4.0.x 版、4.2.13.3 之前的 4.2.x 版、4.3.13.1 之前的 4.3.x 版或 4.4.6.1 之前的 4.4.x 版。因此，會受到多個弱點影響。- 在 4.0.10.10 之前的 4.0.x 版、4.2.13.3 之前的 4.2.x 版、4.3.13.1 之前的 4.3.x 版，以及 4.4.6.1 之前的 4.4.x 版的 phpMyAdmin 中，其設定處理程序中存在多個跨網站要求偽造 (XSRF) 弱點，這些弱點允許遠端攻擊者劫持系統管理員對修改設定檔之要求的驗證。
(CVE-2015-3902)
- 在 4.0.10.10 之前的 4.0.x 版、4.2.13.3 之前的 4.2.x 版、4.3.13.1 之前的 4.3.x 版，以及 4.4.6.1 之前的 4.4.x 版的 phpMyAdmin 中，libraries/Config.class.php 禁用了透過 SSL 呼叫對 GitHub API 進行的 X.509 證書驗證，著允許中間人攻擊者透過建構的證書來偽造伺服器並取得敏感資訊。(CVE-2015-3903)
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。
解決方案
升級至 phpMyAdmin version 4.0.10.10 / 4.2.13.3 / 4.3.13.1 / 4.4.6.1 版或更新版本。另請參閱
Plugin 詳細資訊
嚴重性: Medium
ID: 143273
檔案名稱: phpmyadmin_pmasa_4_4_6_1.nasl
版本: 1.5
類型: remote
系列: CGI abuses
已發布: 2020/11/27
已更新: 2024/2/8
組態: 啟用 Paranoid 模式, 啟用徹底檢查
支援的感應器: Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.9
CVSS v2
風險因素: Medium
基本分數: 6.8
時間分數: 5.3
媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS 評分資料來源: CVE-2015-3902
CVSS v3
風險因素: Medium
基本分數: 6.3
時間分數: 5.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: cpe:/a:phpmyadmin:phpmyadmin
必要的 KB 項目: www/PHP, installed_sw/phpMyAdmin, Settings/ParanoidReport
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2015/5/13
弱點發布日期: 2015/5/13
參考資訊
CVE: CVE-2015-3902, CVE-2015-3903