Lek in jongste versie Phpmyadmin ontdekt
Gepubliceerd: Dinsdag 11 oktober 2005
Auteur: Wilbert de Vries
Experts hebben een lek ontdekt in Phpmyadmin waarmee kwaadwillenden toegang kunnen krijgen tot de server.
Het lek, in de grab_globals-library, is ontdekt door beveiligingsonderzoekers van SecurityReason. Om het lek te kunnen misbruiken, dient een aanvaller wel toegang te hebben tot Phpmyadmin - een veelgebruikte frontend voor mysql-databases.
Volgens kenners is het ontdekte lek vooral een beveiligingsrisico voor hostingbedrijven. Klanten kunnen daar veelal zelf een Phpmyadmin-pakket installeren. Indien deze niet of niet goed is beveiligd, kunnen aanvallers het lek misbruiken.
Door de fout in grab_globals.lib.php is het mogelijk voor kwaadwillenden om via het commando 'subform[][redirect]' in een formulier bestanden buiten de webroot te zien.
Volgens SecurityReason is in ieder geval de vorige maand vrijgegeven versie phpmyadmin-2.6.4-pl1.pl gevoelig voor het lek. Waarschijnlijk zijn ook voorgaande versies gevoelig.
