🇰🇷 한글 설명
phpMyAdmin 2.5.1~2.5.7의 left.php에서 LeftFrameLight가 FALSE일 때 발생하는 eval injection 취약점입니다. 공격자가 조작된 테이블 이름을 입력하여 임의의 PHP 코드를 실행할 수 있으며, 서버 전체에 대한 제어권을 획득할 수 있습니다.
💡 쉬운 설명
phpMyAdmin에서 테이블 이름 입력란에 숨겨진 악의적 코드를 넣으면 그대로 실행되는 버그입니다. 공격자가 이를 이용하면 데이터베이스 서버를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
Eval injection vulnerability in left.php in phpMyAdmin 2.5.1 up to 2.5.7, when LeftFrameLight is FALSE, allows remote attackers to execute arbitrary PHP code via a crafted table name.
📍 영향받는 시스템
phpMyAdmin 2.5.1, 2.5.2, 2.5.3, 2.5.4, 2.5.5, 2.5.6, 2.5.7
⚔️ 공격 벡터
웹 인터페이스의 테이블 이름 입력 필드에 PHP eval 문법을 포함한 악의적 문자열 주입
🛡️ 대응 방법
phpMyAdmin을 2.5.8 이상으로 업그레이드하거나 config.inc.php에서 $cfg['LeftFrameLight'] = true로 설정
🔧 검증 코드
설치된 phpMyAdmin 버전이 2.5.7 이하이면 취약점 존재; 2.5.8 이상이면 패치됨
dpkg -l | grep phpmyadmin || rpm -qa | grep phpmyadmin