phpMyAdmin跨站要求伪造缝隙安全公告

颁布功夫 2019-09-23

●缝隙编号和级别


CVE编号：CVE-2019-12922 ，危险级别：中危 ，CVSS分值：6.5


●影响版本


phpMyAdmin<= 4.9.0.1


●缝隙概述


phpMyAdmin是一个MySQL和MariaDB数据库的免费开源治理工具 ，宽泛用于治理WordPress、Joomla和很多其他内容治理平台创建的网站的数据库。


近日 ，安全钻研人员Manuel Garcia Cardenas披露了phpMyAdmin的一个跨站要求伪造（CVE-2019-12922）缝隙。攻击者可利用该缝隙诱使认证用户执行恶意操作。当攻击者将恶意机关的URL发送给指标web治理员时 ，若该web治理员已使用统一浏览器登陆了phpmyAdmin面板 ，并打开该链接 ，即可执行URL蕴含的恶意要求删除指标服务器上phpMyAdmin面板设置页面中所配置的服务器。


●缝隙验证


POC:利用 CSRF —删除主服务器。


<p>Deleting Server 1</p>

<img src="

http://server/phpmyadmin/setup/index.php?page=servers&mode=remove&id=1";

style="display:none;" />


●建复建议


官方暂未颁布针对此缝隙的建复版本。


一时缓解措施：


用户可通过在每次挪用时使用token变量验证来对该缝隙进行防护。


在守护人员对该缝隙进行建复前 ，强烈建议有关的用户预防点击任何可疑的链接造成风险 ，请关注官方有关新闻 ，以便实时升级phpMyAdmin至建复版正本防护此缝隙。


●参考链接


https://thehackernews.com/2019/09/phpmyadmin-csrf-exploit.html

https://seclists.org/fulldisclosure/2019/Sep/23