phpMyAdmin phát hành bản cập nhật quan trọng – Hãy vá trang web của bạn ngay!

[WhiteHat News #ID:2112]

Các nhà phát triển của phpMyAdmin, một trong những hệ thống quản lý cơ sở dữ liệu MySQL phổ biến và được sử dụng rộng rãi nhất, vừa phát hành phiên bản cập nhật phần mềm 4.8.4 để vá một số lỗ hổng quan trọng có thể cho phép kẻ tấn công từ xa kiểm soát các máy chủ web bị ảnh hưởng.

Trước đó, hôm Chủ Nhật, dự án phpMyAdmin đã đưa ra một thông báo về bản cập nhật mới nhất trên blog của mình để thử nghiệm xem thông báo trước có thể giúp quản trị viên trang web, nhà cung cấp dịch vụ lưu trữ và các nhà quản lý gói tin chuẩn bị tốt hơn cho bản phát hành.

phpMyAdmin là một công cụ quản trị nguồn mở miễn phí để quản lý cơ sở dữ liệu MySQL bằng giao diện đồ họa đơn giản trên trình duyệt web.

Hầu như mọi dịch vụ lưu trữ web đều cài đặt sẵn phpMyAdmin với bảng điều khiển của họ để giúp quản trị viên dễ dàng quản lý cơ sở dữ liệu cho các trang web, bao gồm WordPress, Joomla và nhiều nền tảng quản lý nội dung khác.

Bên cạnh nhiều bản vá lỗi, có ba lỗ hổng an ninh quan trọng ảnh hưởng đến các phiên bản phpMyAdmin trước 4.8.4.

Lỗ hổng phpMyAdmin mới

Dưới đây là chi tiết về ba lỗ hổng phpMyAdmin mới được phát hiện:

1.) Local file inclusion – (CVE-2018-19968) - lỗi có thể cho phép hacker đọc file trên server và có thể dẫn đến chiếm quyền điều khiển server. Các phiên bản phpMyAdmin từ ít nhất 4.0 đến 4.8.3 bao gồm lỗ hổng bao gồm tệp cục bộ có thể cho phép kẻ tấn công từ xa đọc nội dung nhạy cảm từ các tệp cục bộ trên máy chủ thông qua tính năng chuyển đổi của nó.

Kẻ tấn công phải có quyền truy cập vào các bảng lưu trữ cấu hình phpMyAdmin, mặc dù chúng có thể dễ dàng được tạo trong bất kỳ cơ sở dữ liệu mà kẻ tấn công có quyền truy cập. Kẻ tấn công phải có thông tin xác thực để đăng nhập vào phpMyAdmin; lỗ hổng này không cho phép kẻ tấn công phá vỡ hệ thống đăng nhập.

2.) Cross-Site Request Forgery - Giả mạo yêu cầu liên trang (CSRF)/XSRF (CVE-2018-19969) - Phiên bản phpMyAdmin 4.7.0 đến 4.7.6 và 4.8.0 đến 4.8.3 bao gồm lỗ hổng CSRF/XSRF, nếu bị khai thác, có thể cho phép kẻ tấn công "thực hiện các hoạt động SQL có hại như đổi tên cơ sở dữ liệu, tạo bảng/trường mới, xóa trang thiết kế, thêm/xóa người dùng, cập nhật mật khẩu người dùng, kết thúc quy trình SQL" chỉ bằng cách thuyết phục nạn nhân mở các liên kết tự tạo đặc biệt.

3.) Cross-site scripting (XSS) (CVE-2018-19970) - Phần mềm cũng bao gồm lỗ hổng cross-site scripting trong cây điều hướng, tác động đến các phiên bản từ ít nhất 4.0 đến 4.8.3, sử dụng lỗ hổng này kẻ tấn công có thể tiêm mã độc vào bảng điều khiển thông qua cơ sở dữ liệu/tên bảng tự tạo đặc biệt.

Để giải quyết tất cả các lỗ hổng được liệt kê ở trên, các nhà phát triển phpMyAdmin đã phát hành phiên bản mới nhất 4.8.4, cũng như các bản vá riêng cho một số phiên bản trước.

Quản trị viên trang web và nhà cung cấp dịch vụ lưu trữ được khuyến khích cài đặt bản cập nhật hoặc bản vá mới nhất sớm nhất có thể.

Theo The Hacker News​