Debian DSA-1918-1 : phpmyadmin - 複数の脆弱性

high Nessus プラグイン ID 44783

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

MySQL を Web で管理するツールである phpMyAdmin で、複数のリモート脆弱性が発見されています。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2009-3696 クロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が細工された MySQL テーブル名を介して、任意の Web スクリプトまたは HTML を注入する可能性があります。

- CVE-2009-3697 PDF スキーマ生成機能の SQL インジェクション脆弱性により、リモートの攻撃者は任意の SQL コマンドを実行する可能性があります。この問題は Debian 4.0 Etch のバージョンには適用されません。

さらに、Web ベースの setup.php スクリプトの追加的強化が追加されています。出荷時の Web サーバー構成はこのスクリプトの保護を確認すべきですが、実際には保護が徹底されていません。config.inc.php ファイルは Web サーバーのユーザーによる書込みが可能でなくなりました。setup.php が要請される場合に有効化する方法の詳細については README.Debian を参照してください。

ソリューション

phpmyadmin パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（etch）では、これらの問題はバージョン 2.9.1.1-13 で修正されています。

安定版（stable）ディストリビューション（lenny）では、これらの問題はバージョン 2.11.8.1-5+lenny3 で修正されています。