Для phpMyAdmin появился эксплоит

[KrasivayaSvo]

Скорее всего речь идет об уязвимости, связанной с функцией unserialize. Информация об этой уязвимости появилась в листах еще в январе 2010 года:
phpmyadmin.net
securityfocus.com
Вкратце суть в том, что в файле setup.php существует ошибка, которая позволяет запихнуть в функцию unserialize непроверенные данные, которые могут повлечь взлом.
Уязвимы все версии до 2.11.10.
Рекомендации: обновиться до 2.11.10 или 3.0.0 и выше
На предмет каких-то новых уязвимостей в phpMyAdmin с тех пор тишина.

[kiev]

а достаточно будет сделать проще
вот так
locate setup.php | xargs -I '{}' rm '{}'
?

[bondbig]

мне от fastvps пришло письмо, вам тоже? Текст один в один.

[script88]

да именно

[pavelodintsov]

Всем клиентам пришло, мы еще вчера очень много подобных взломов зафиксировали, но разобрались в источнике только сегодня, сразу и сделали рассылку.

[litos]

firstvds.ru, кстати, дня 2 назад в своем твиттере написали что «рекомендуем обновляться в связи с появлением эксплойта»

[pavelodintsov]

Не подписаны :( Сейчас это исправим :)

[ainu]

Мне от firstVDS позавчера

[Raz0r]

Эксплоит уже более полугода в свободном доступе, является доработанной версией вот этого сплоита. Уязвимость та же, но используется баг с автоматическим выполнением кода в __destruct() после того, как в unserialize() попадают данные со стороны пользователя.

[dunkle]

Никто не заметил, что второй мануал весит 666кб? :)

[ColorPrint]

С 3.х веткой все в порядке что ли?

[litos]

Да, уязвима только 2.x

[pavelodintsov]

Они самые, но на наших VPS они, к счастью, не работают. Более опасен второй бинарик, который dd_ssh, он представляет из себя брутфорсер удаленных машин.

[litos]

4 месяца назад было исправление (в Debian), вот и результат…

[davinchi]

Ссыль на админа FastVPS.ru
phpsuxx.blogspot.com/2010/08/phpmyadmin.html

[l0rda]

да ломают уже давно им, расстраивает что в EPEL до сих пор старый пакет, надо руками что ли пересобрать

[litos]

yum upgrade -y phpmyadmin который они рекомендуют как раз из EPEL и ставит (а в стандартном репозитории CentOS нет его) и там новый download.fedora.redhat.com/pub/epel/5/i386/phpMyAdmin-2.11.10-1.el5.noarch.rpm

[pavelodintsov]

В Epel уже новый пакет, сегодня специально проверял:

yum -q info phpmyadmin
Installed Packages
Name: phpMyAdmin
Arch: noarch
Version: 2.11.10
Release: 1.el5
Size: 12 M
Repo: installed
Summary: Web based MySQL browser written in php
URL: www.phpmyadmin.net/
License: GPLv2+
Description: phpMyAdmin is a tool written in PHP intended to handle the administration of
: MySQL over the Web. Currently it can create and drop databases,
: create/drop/alter tables, delete/edit/add fields, execute any SQL statement,
: manage keys on fields, manage privileges,export data into various formats and
: is available in 50 languages

[l0rda]

Вчера еще старый был вроде, хорошо, что обновили

[akzhan]

Вот за это люблю Федору :)

Installed Packages
Name: phpMyAdmin
Arch: noarch
Version: 3.3.4
Release: 1.fc12

[mgyk]

Ну там дырки постоянно, не понимаю зачем вешать его открыто. Два варианта защититься от его дырок
1) Не испльзовать phpmyadmin.
2) Закрыть его локейшен HTTP авторизацией.

[ergil]

я чуть ниже написал третий, еще более годный вариант ))

[ivlis]

3) открывать phpmyadmin на адреса vpn и всего делов.

[ergil]

если приходится использовать phpMyadmin, то рекомендую открыть для себя персональные сертификаты для https )) и сделать сертификат пускающий к нему только тому кому оно реально нужно.

[alexkbs]

может быть вы и инструкцию для страждущих напишете? был бы вам премного благодарен

[ergil]

хм, да можно попробовать и инструкцию, если будет сегодня время, то постараюсь, если сегодня не будет, то может на днях…

[Scratch]

для iis: habrahabr.ru/blogs/IIS/96827/
Для апача: www.opennet.ru/base/sec/ssl_cert.txt.html

[AusTiN]

а для nginx?)))

[ergil]

а я как раз с нжинкс юзаю )) могу действительно набросать ))

[AusTiN]

набросайте, буду благодарен:)

[bondbig]

для устранения угрозы достаточно просто аутентификации, хоть по логину/паролю. Но по сертификатам лучше, да.

[bondbig]

я имел в виду HTTP-аутентификацию, а не аутентификацию самого приложения, ессно.

[nicolnx]

phpmyadmin (4:2.11.8.1-5+lenny4) stable-security; urgency=high

* Upload to stable to fix security issues.
* Unserialize called on untrusted data [CVE-2009-4605].
* Predictable temporary file names [CVE-2008-7252].
* May create tempdir with unsafe permissions [CVE-2008-7251].

— Thijs Kinkhorst <[e-mail]> Sat, 17 Apr 2010 13:55:41 +0200

Пофиксили ж еще в апреле, чего только в августе саппорт зашевелился?

[pavelodintsov]

Ранее ее никто не эксплуатировал, сейчас же повально через нее заливают всякую живность.

[porutchik]

А пишут, что 3.x releases are not affected. Кому верить?

[LifeOS]

спасибо. обновился)

[litos]

> кстати open_basedir не помогает?
>
phpmyadmin при установке из репозитория в своем файлике (в /etc/apache2/conf.d/) разрешает open_basedir писать в /tmp (оно ему нужно) и соответственно оттуда и запускается.

[porutchik]

Я правильно понимаю, что если удалить setup.php, то уязвимости придёт конец?

[ivlis]

Тоже мне эксплойт. Кто ж setup.php оставляет-то.

[IMA]

Можно удалить (переместить) весь каталог scripts.
Кроме того, некоторые панели, к примеру Parallels Plesk, не дают доступ к phpMyAdmin без аутентификации в панели.
Если phpMyAdmin используется редко, можно полностью исключать к нему доступ (например, переместить файлы phpMyAdmin). Боты любят лупится по его скриптам.

[voidus]

heidiSQL?

[voidus]

Ну тут вроде и не говорили о браузерных альтернативах. Говорили вообще об альтернативах набиранию SQL-запросов в консоли.

[Andrey_Rogovsky]

Если /tmp смонтировано в noexec, то из /tmp никто ничего не запустит

[akshakirov]

часто заливают перл скрипт и запускают через perl /tmp/badscript.txt

от этого ноэкзек не спасет.

[dmiceman]

Спасибо, в GLSA инфы не было (и нет).

[FlexIDK]

Вот поэтому мне нравится FreeBSD и ее база портов =) который обновляются практически мгновенно, как выходит новая версия чего-либо…
В портах уже phpMyAdmin 3.3.5, php 5.3.3 и т.д.

[ilesik]

но без косяков нигде не бывает… обновил quagga до последней версии (из портов) — слетел OSPF (pr уже закоммичен)…
Откатится на пред версию нельзя. (я знаю что бекапить при апдейте нужно было, сам виноват)… но все же…
обновление мгновенное, но до неработающей версии :-(

[FlexIDK]

Ну согласен =))) Вот недавно был было два косяка в портах… и все связанные с обновление PNG
После обновления версию, слетал php-gd, те при обработке png изображения с помощью php-gd, рhp падал… Первый косяк решился через 1 месяц, обновилась версия пхп в портах до 5.3.2 (пришлось часть скриптов на сайтах переписывать), второй косяк был также при обновлении PNG с 1.4.1 до 1.4.1_1 — решился через 1.5 месяца, обновлением пхп до 5.3.3

плюс: всегда свежий софт
минус: возникает нестабильность в совместимость

Каждый пусть выберет себе одно из двух… Я выбрал «плюс»

[jaredhared]

Возможно я неправ, но смысла обновлять кваггу без крайней нужды?
В последний раз, когда мне оно было надо, квагга не понимала ASN32. В остальном — ложить всю автономку на время обновления смысла не особо, имхо.

[smartlight]

я так понял народ держит phpMyAdmin наружу без каких либо аутентификаций??
что то верится с трудом в такую безалаберность

[Decoy]

Может все-таки "Информационная безопасность", а не "Open source"? ;-)

[script88]

Спасибо, сейчас поправлю!