S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 21 mars 2006 No CERTA-2006-AVI-122

Affaire suivie par :

CERTA

Objet : Vulnérabilité de phpMyAdmin

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

Les versions de phpMyAdmin 1.x ou 2.x strictement inférieures à la version 2.8.0.2.

3 Description

Le logiciel phpMyAdmin est un logiciel destiné à permettre l'administration d'une base de données MySQL au travers d'une interface WEB.

Une vulnérabilité a été découverte dans la version 2.8.0.1 du logiciel phpMyAdmin. Il est possible que d'autres versions de ce logiciel soient affectées.

Un individu malveillant peut en exploitant cette vulnérabilité procéder à une attaque de type cross site scripting.

Un programme de démonstration qui exploite la vulnérabilité existe.

4 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

5 Documentation

• Référence CVE CAN-2006-1258 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2006-1258
  

• Le Cross site Scripting :

  http://www.certa.ssi.gouv.fr/site/CERTA-2002-INF-001
  

• Bulletin de sécurité de l'éditeur :

  http://www.phpmyadmin.net/home_page/downloads.php?relnotes=0
  

Gestion détaillée du document

21 mars 2006

version initiale.