phpMyAdmin 4.0.x < 4.0.10.10 / 4.2.x < 4.2.13.3 / 4.3.x < 4.3.13.1 / 4.4.x < 4.4.6.1の複数の脆弱性(PMASA-2015-2、PMASA-2015-3)

medium Nessus プラグイン ID 143273

概要

リモートのWebサーバーは、複数の脆弱性の影響を受けるPHPアプリケーションをホストしています。

説明

自己報告されたバージョンによると、リモートの Web サーバーでホストされている phpMyAdmin アプリケーションは、4.0.10.10 より前の 4.0.x、4.2.13.3 より前の 4.2.x、4.3.13.1 より前の 4.3.x、4.4.6.1 より前の 4.4.x です。したがって、複数の脆弱性の影響を受けます。

4.0.10.10より前の4.0.x、4.2.13.3より前の4.2.x、4.3.13.1より前の4.3.x、および4.4.6.1より前の4.4.xのphpMyAdminのセットアッププロセスにおける複数のクロスサイトリクエスト偽造(XSRF)の脆弱性のため、リモートの攻撃者が管理者の認証をハイジャックし、構成ファイルの変更をリクエストすることが可能です。
(CVE-2015-3902)

- 4.0.10.10より前の4.0.x、4.2.13.3より前の4.2.x、 4.3.13.1より前の4.3.x、および4.4.6.1より前の4.4.xのphpMyAdminにおけるlibraries/Config.class.phpは、SSLを介したGitHub API呼び出しのX.509証明書検証を無効にするため、中間攻撃者がサーバーを偽装し、細工された証明書を介して機密情報を取得する子著が可能です。(CVE-2015-3903)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

phpMyAdminバージョン4.0.10.10/4.2.13.3/4.3.13.1/4.4.6.1以降にアップグレードしてください。

参考資料

https://www.phpmyadmin.net/security/PMASA-2015-2/

https://www.phpmyadmin.net/security/PMASA-2015-3/

プラグインの詳細

深刻度: Medium

ID: 143273

ファイル名: phpmyadmin_pmasa_4_4_6_1.nasl

バージョン: 1.5

タイプ: remote

ファミリー: CGI abuses

公開日: 2020/11/27

更新日: 2024/2/8

設定: パラノイドモードの有効化, 徹底したチェックを有効にする

サポートされているセンサー: Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Medium

Base Score: 6.8

Temporal Score: 5.3

ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS スコアのソース: CVE-2015-3902

CVSS v3

リスクファクター: Medium

Base Score: 6.3

Temporal Score: 5.7

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C

脆弱性情報

CPE: cpe:/a:phpmyadmin:phpmyadmin

必要な KB アイテム: www/PHP, installed_sw/phpMyAdmin, Settings/ParanoidReport

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2015/5/13

脆弱性公開日: 2015/5/13

参照情報

CVE: CVE-2015-3902, CVE-2015-3903

BID: 74657, 74660

CWE: 295, 352, 661