S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 10 septembre 2010 No CERTA-2010-AVI-427

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans phpMyAdmin

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Injection de code indirecte à distance.

2 Systèmes affectés

3 Résumé

4 Description

• il est possible d'injecter du code HTML ou des scripts au travers des fonctions de trace et des messages d'erreurs (CVE-2010-2958) ;
• un manque de validation des entrées par le script d'installation permet à un utilisateur malveillant de réaliser de l'injection de code indirecte (CVE-2010-3263).

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité phpMyAdmin PMASA-2010-6 du 30 août 2010 :

  http://www.phpmyadmin.net/home_page/security/PMASA-2010-6.php
  

• Bulletin de sécurité phpMyAdmin PMASA-2010-7 du 09 septembre 2010 :

  http://www.phpmyadmin.net/home_page/security/PMASA-2010-7.php
  

• Référence CVE CVE-2010-2958 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2958
  

• Référence CVE CVE-2010-3263 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-3263
  

Gestion détaillée du document

10 septembre 2010

version initiale.