phpMyAdmin误差清静通告

宣布时间 2019-01-28

误差编号和级别


CVE编号：CVE-2019-6799，，，，，，，，危险级别：严重，，，，，，，，CVSS分值：官方未评定

CVE编号：CVE-2019-6798，，，，，，，，危险级别：高危，，，，，，，，CVSS分值：官方未评定


影响规模


受影响版本：

CVE-2019-6799：

phpMyAdmin 4.0到4.8.4

CVE-2019-6798：

phpMyAdmin 4.5.0到4.8.4


误差概述


phpMyAdmin是phpMyAdmin团队开发的一套免费的、基于Web的MySQL数据库治理工具。。。。。。该工具能够建设和删除数据库，，，，，，，，建设、删除、修改数据库表，，，，，，，，执行SQL剧本下令等。。。。。。


phpMyAdmin 4.8.4之前版本中保存恣意文件读取误差和Designer界面中的SQL注入误差，，，，，，，，概述如下：

CVE-2019-6799

此攻击要求 phpMyAdmin将 AllowArbitraryServer指令设置为 true 来运行，，，，，，，，而不是默认值。。。。。。攻击者还必需通过伪装成MySQL效劳器运行恶意效劳器历程。。。。。。使用此误差可以读取效劳器上的恣意文件。。。。。。

CVE-2019-6798

此误差可以使用特定的用户名通过设计器功效触发SQL注入攻击。。。。。。


修复建议


现在厂商已宣布升级补丁以修复误差，，，，，，，，请更新至phpMyAdmin 4.8.5. https://www.phpmyadmin.net/downloads/。。。。。。


参考链接


https://www.phpmyadmin.net/news/2019/1/26/security-fix-phpmyadmin-485-released/

https://www.phpmyadmin.net/security/PMASA-2019-1/

https://www.phpmyadmin.net/security/PMASA-2019-2/

https://www.phpmyadmin.net/downloads/