Debian DLA-2154-1 : phpmyadmin セキュリティ更新

high Nessus プラグイン ID 134771

Language:

概要

リモートの Debian ホストにセキュリティ更新プログラムがありません。

説明

phpmyadminについて、以下のパッケージCVEが報告されました。

CVE-2020-10802

4.9.5より前のphpMyAdmin 4.xにおいて、libraries/classes/Controllers/Table/TableSearchController.php内の検索アクション用の特定のクエリを生成する際に、特定のパラメーターが適切にエスケープされておらず、SQLインジェクションの脆弱性があることが判明しました。攻撃者が、細工されたデータベース名またはテーブル名を生成する可能性があります。ユーザーが悪意のあるデータベースまたはテーブルで特定の検索操作を試みる場合、攻撃が実行される可能性があります。

CVE-2020-10803

4.9.5より前のphpMyAdmin 4.xにおいて、SQLインジェクションの脆弱性が発見されました。悪意のあるコードを使用することにより、結果を取得して表示することでXSS攻撃を引き起こす可能性がありました（tbl_get_field.phpおよびlibraries/classes/Display/Results.php）。攻撃者は、細工されたデータを特定のデータベーステーブルに挿入して、（「参照」タブなどを使用して）そのデータを取得するとXSS攻撃が引き起こされるようにすることが可能であることが必要です。

Debian 8「Jessie」では、これらの問題はバージョン4:4.2.12-2+deb8u9で修正されました。

お使いの phpmyadmin パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。