🇰🇷 한글 설명
phpMyAdmin 2.6.0-pl2 및 이전 버전에서 외부 변환 기능이 활성화되었을 때, 쉘 메타문자를 이용한 공격으로 원격에서 임의의 명령을 실행할 수 있는 취약점입니다. 웹 인터페이스를 통해 서버의 운영체제 명령을 직접 실행할 수 있으며, 시스템 전체가 손상될 수 있습니다.
💡 쉬운 설명
phpMyAdmin에서 데이터를 변환하는 기능을 통해 해커가 서버의 내부 명령을 실행할 수 있습니다. 마치 직접 터미널에 접속한 것처럼 서버를 제어할 수 있게 됩니다.
🇺🇸 원문 (English)
phpMyAdmin 2.6.0-pl2, and other versions before 2.6.1, with external transformations enabled, allows remote attackers to execute arbitrary commands via shell metacharacters.
📍 영향받는 시스템
phpMyAdmin 버전 2.6.0-pl2 이하 (2.6.1 미만의 모든 버전)
⚔️ 공격 벡터
HTTP POST 요청으로 외부 변환(transformation) 기능에 쉘 메타문자를 포함한 페이로드를 전송
🛡️ 대응 방법
phpMyAdmin를 2.6.1 이상으로 즉시 업그레이드하거나, 외부 변환 기능을 비활성화
🔧 검증 코드
phpMyAdmin 설치 경로가 반환되면 설치된 것이고, 해당 파일의 변환 기능 설정을 확인하여 비활성화 상태 여부를 판단합니다.
grep -r 'PMA_TRANSFORMATION_PATH\|transformations_db' /var/www/phpmyadmin/ 2>/dev/null || echo 'phpMyAdmin not found'