phpMyAdmin 4.0.x < 4.0.10.1 / 4.1.x < 4.1.14.2 / 4.2.x < 4.2.6 多個弱點 (PMASA-2014-4 - PMASA-2014-7)
medium Nessus Plugin ID 76915
語系：
概要
遠端 Web 伺服器主控一個受多個弱點影響的 PHP 應用程式。說明
根據其自我報告的版本號碼，遠端 Web 伺服器上主控的 phpMyAdmin 安裝為 4.0.10.1 之前的 4.0.x 版、4.1.14.2 之前的 4.1.x 版或 4.2.6 之前的 4.2.x 版。因此受到以下弱點影響：- 'TABLE_COMMENT' 參數輸入未使用指令碼 'libraries/structure.lib.php' 驗證，因此可允許跨網站指令碼攻擊。請注意，此問題會影響 4.2.x 分支。(CVE-2014-4954)
- 'trigger' 參數輸入未使用指令碼 'libraries/rte/rte_list.lib.php' 驗證，因此可允許跨網站指令碼攻擊。(CVE-2014-4955)
- 'table' 和 'curr_column_name' 參數輸入未分別使用指令碼 'js/functions.js' 和 'js/tbl_structure.js' 驗證，因此可允許跨網站指令碼攻擊。(CVE-2014-4986)
- 指令碼 'server_user_groups.php' 中含有一個可允許遠端攻擊者取得 MySQL 使用者清單，並可能對應用程式顯示進行變更的錯誤。請注意，此問題只會影響 4.1.x 和 4.2.x 分支。(CVE-2014-4987)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。
解決方案
升級至 phpMyAdmin 4.0.10.1 / 4.1.14.2 / 4.2.6 或更新版本，或是從參照的連結套用修補程式。另請參閱
http://www.nessus.org/u?4b66a58c
http://www.phpmyadmin.net/home_page/security/PMASA-2014-4.php
http://www.phpmyadmin.net/home_page/security/PMASA-2014-5.php
http://www.phpmyadmin.net/home_page/security/PMASA-2014-6.php
http://www.phpmyadmin.net/home_page/security/PMASA-2014-7.php
http://www.nessus.org/u?91815216
http://www.nessus.org/u?8cdbf2d1
http://www.nessus.org/u?1aafba98
http://www.nessus.org/u?67967469
http://www.nessus.org/u?c3bfc267
http://www.nessus.org/u?97997036
http://www.nessus.org/u?79fdaa0b
Plugin 詳細資訊
嚴重性: Medium
ID: 76915
檔案名稱: phpmyadmin_pmasa_2014_7.nasl
版本: 1.8
類型: remote
系列: CGI abuses
已發布: 2014/7/30
已更新: 2022/4/11
組態: 啟用 Paranoid 模式, 啟用徹底檢查
支援的感應器: Nessus
風險資訊
VPR
風險因素: Low
分數: 3.4
CVSS v2
風險因素: Medium
基本分數: 4
時間分數: 3
媒介: CVSS2#AV:N/AC:L/Au:S/C:P/I:N/A:N
CVSS 評分資料來源: CVE-2014-4987
弱點資訊
CPE: cpe:/a:phpmyadmin:phpmyadmin
必要的 KB 項目: www/PHP, Settings/ParanoidReport, www/phpMyAdmin
可輕鬆利用: No exploit is required
修補程式發佈日期: 2014/7/17
弱點發布日期: 2014/7/17
參考資訊
CVE: CVE-2014-4954, CVE-2014-4955, CVE-2014-4986, CVE-2014-4987