Для phpMyAdmin появился эксплоит

[@KrasivayaSvo]

Скорее всего речь идет об уязвимости, связанной с функцией unserialize. Информация об этой уязвимости появилась в листах еще в январе 2010 года:
phpmyadmin.net
securityfocus.com
Вкратце суть в том, что в файле setup.php существует ошибка, которая позволяет запихнуть в функцию unserialize непроверенные данные, которые могут повлечь взлом.
Уязвимы все версии до 2.11.10.
Рекомендации: обновиться до 2.11.10 или 3.0.0 и выше
На предмет каких-то новых уязвимостей в phpMyAdmin с тех пор тишина.

[@kiev]

а достаточно будет сделать проще
вот так
locate setup.php | xargs -I '{}' rm '{}'
?

[@bondbig]

мне от fastvps пришло письмо, вам тоже? Текст один в один.

[@script88]

да именно

[@pavelodintsov]

Всем клиентам пришло, мы еще вчера очень много подобных взломов зафиксировали, но разобрались в источнике только сегодня, сразу и сделали рассылку.

[@litos]

firstvds.ru, кстати, дня 2 назад в своем твиттере написали что «рекомендуем обновляться в связи с появлением эксплойта»

[@pavelodintsov]

Не подписаны :( Сейчас это исправим :)

[@ainu]

Мне от firstVDS позавчера

[@Raz0r]

Эксплоит уже более полугода в свободном доступе, является доработанной версией вот этого сплоита. Уязвимость та же, но используется баг с автоматическим выполнением кода в __destruct() после того, как в unserialize() попадают данные со стороны пользователя.

[@dunkle]

Никто не заметил, что второй мануал весит 666кб? :)

[@ColorPrint]

С 3.х веткой все в порядке что ли?

[@litos]

Да, уязвима только 2.x

[@pavelodintsov]

Они самые, но на наших VPS они, к счастью, не работают. Более опасен второй бинарик, который dd_ssh, он представляет из себя брутфорсер удаленных машин.

[@litos]

4 месяца назад было исправление (в Debian), вот и результат…

[@davinchi]

Ссыль на админа FastVPS.ru
phpsuxx.blogspot.com/2010/08/phpmyadmin.html

[@l0rda]

да ломают уже давно им, расстраивает что в EPEL до сих пор старый пакет, надо руками что ли пересобрать

[@litos]

yum upgrade -y phpmyadmin который они рекомендуют как раз из EPEL и ставит (а в стандартном репозитории CentOS нет его) и там новый download.fedora.redhat.com/pub/epel/5/i386/phpMyAdmin-2.11.10-1.el5.noarch.rpm

[@pavelodintsov]

В Epel уже новый пакет, сегодня специально проверял:

yum -q info phpmyadmin
Installed Packages
Name: phpMyAdmin
Arch: noarch
Version: 2.11.10
Release: 1.el5
Size: 12 M
Repo: installed
Summary: Web based MySQL browser written in php
URL: www.phpmyadmin.net/
License: GPLv2+
Description: phpMyAdmin is a tool written in PHP intended to handle the administration of
: MySQL over the Web. Currently it can create and drop databases,
: create/drop/alter tables, delete/edit/add fields, execute any SQL statement,
: manage keys on fields, manage privileges,export data into various formats and
: is available in 50 languages

[@l0rda]

Вчера еще старый был вроде, хорошо, что обновили

[@akzhan]

Вот за это люблю Федору :)

Installed Packages
Name: phpMyAdmin
Arch: noarch
Version: 3.3.4
Release: 1.fc12

[@mgyk]

Ну там дырки постоянно, не понимаю зачем вешать его открыто. Два варианта защититься от его дырок
1) Не испльзовать phpmyadmin.
2) Закрыть его локейшен HTTP авторизацией.

[@ergil]

я чуть ниже написал третий, еще более годный вариант ))

[@ivlis]

3) открывать phpmyadmin на адреса vpn и всего делов.

[@ergil]

если приходится использовать phpMyadmin, то рекомендую открыть для себя персональные сертификаты для https )) и сделать сертификат пускающий к нему только тому кому оно реально нужно.

[@alexkbs]

может быть вы и инструкцию для страждущих напишете? был бы вам премного благодарен

[@ergil]

хм, да можно попробовать и инструкцию, если будет сегодня время, то постараюсь, если сегодня не будет, то может на днях…

[@Scratch]

для iis: habrahabr.ru/blogs/IIS/96827/
Для апача: www.opennet.ru/base/sec/ssl_cert.txt.html

[@AusTiN]

а для nginx?)))

[@ergil]

а я как раз с нжинкс юзаю )) могу действительно набросать ))

[@AusTiN]

набросайте, буду благодарен:)

[@bondbig]

для устранения угрозы достаточно просто аутентификации, хоть по логину/паролю. Но по сертификатам лучше, да.

[@bondbig]

я имел в виду HTTP-аутентификацию, а не аутентификацию самого приложения, ессно.

[@nicolnx]

phpmyadmin (4:2.11.8.1-5+lenny4) stable-security; urgency=high

* Upload to stable to fix security issues.
* Unserialize called on untrusted data [CVE-2009-4605].
* Predictable temporary file names [CVE-2008-7252].
* May create tempdir with unsafe permissions [CVE-2008-7251].

— Thijs Kinkhorst <[e-mail]> Sat, 17 Apr 2010 13:55:41 +0200

Пофиксили ж еще в апреле, чего только в августе саппорт зашевелился?

[@pavelodintsov]

Ранее ее никто не эксплуатировал, сейчас же повально через нее заливают всякую живность.

[@porutchik]

А пишут, что 3.x releases are not affected. Кому верить?

[@LifeOS]

спасибо. обновился)

[@litos]

> кстати open_basedir не помогает?
>
phpmyadmin при установке из репозитория в своем файлике (в /etc/apache2/conf.d/) разрешает open_basedir писать в /tmp (оно ему нужно) и соответственно оттуда и запускается.

[@porutchik]

Я правильно понимаю, что если удалить setup.php, то уязвимости придёт конец?

[@ivlis]

Тоже мне эксплойт. Кто ж setup.php оставляет-то.

[@IMA]

Можно удалить (переместить) весь каталог scripts.
Кроме того, некоторые панели, к примеру Parallels Plesk, не дают доступ к phpMyAdmin без аутентификации в панели.
Если phpMyAdmin используется редко, можно полностью исключать к нему доступ (например, переместить файлы phpMyAdmin). Боты любят лупится по его скриптам.

[@voidus]

heidiSQL?

[@voidus]

Ну тут вроде и не говорили о браузерных альтернативах. Говорили вообще об альтернативах набиранию SQL-запросов в консоли.

[@Andrey_Rogovsky]

Если /tmp смонтировано в noexec, то из /tmp никто ничего не запустит

[@akshakirov]

часто заливают перл скрипт и запускают через perl /tmp/badscript.txt

от этого ноэкзек не спасет.

[@dmiceman]

Спасибо, в GLSA инфы не было (и нет).

[@FlexIDK]

Вот поэтому мне нравится FreeBSD и ее база портов =) который обновляются практически мгновенно, как выходит новая версия чего-либо…
В портах уже phpMyAdmin 3.3.5, php 5.3.3 и т.д.

[@ilesik]

но без косяков нигде не бывает… обновил quagga до последней версии (из портов) — слетел OSPF (pr уже закоммичен)…
Откатится на пред версию нельзя. (я знаю что бекапить при апдейте нужно было, сам виноват)… но все же…
обновление мгновенное, но до неработающей версии :-(

[@FlexIDK]

Ну согласен =))) Вот недавно был было два косяка в портах… и все связанные с обновление PNG
После обновления версию, слетал php-gd, те при обработке png изображения с помощью php-gd, рhp падал… Первый косяк решился через 1 месяц, обновилась версия пхп в портах до 5.3.2 (пришлось часть скриптов на сайтах переписывать), второй косяк был также при обновлении PNG с 1.4.1 до 1.4.1_1 — решился через 1.5 месяца, обновлением пхп до 5.3.3

плюс: всегда свежий софт
минус: возникает нестабильность в совместимость

Каждый пусть выберет себе одно из двух… Я выбрал «плюс»

[@jaredhared]

Возможно я неправ, но смысла обновлять кваггу без крайней нужды?
В последний раз, когда мне оно было надо, квагга не понимала ASN32. В остальном — ложить всю автономку на время обновления смысла не особо, имхо.

[@smartlight]

я так понял народ держит phpMyAdmin наружу без каких либо аутентификаций??
что то верится с трудом в такую безалаберность

[@Decoy]

Может все-таки "Информационная безопасность", а не "Open source"? ;-)

[@script88]

Спасибо, сейчас поправлю!