S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 24 mai 2011 No CERTA-2011-AVI-306

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans phpMyAdmin

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Injection de code indirecte à distance ;
• redirection.

2 Systèmes affectés

phpMyAdmin versions 3.3.x et 3.4.0.

3 Résumé

Deux vulnérabilités dans phpMyAdmin permettent de réaliser une injection de code indirecte à distance ou de provoquer une redirection.

4 Description

Deux vulnérabilités ont été découvertes dans phpMyAdmin :

• une injection de code indirecte est possible via la page de Tracking ;
• un utilisateur peut être redirigé vers un site malveillant via la page url.php.

5 Solution

Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletins de sécurité PMASA-2011-3 et PMASA-2011-4 du 22 mai 2011 :

  http://www.phpmyadmin.net/home_page/security/PMASA-2011-3.php
  

  http://www.phpmyadmin.net/home_page/security/PMASA-2011-4.php
  

Gestion détaillée du document

24 mai 2011

version initiale.