🇰🇷 한글 설명
phpMyAdmin 2.9.1.1에서 인증 없이 테마 파일에 직접 접근할 수 있으며, 오류 메시지를 통해 서버의 절대 경로 등 민감한 정보가 노출되는 정보 공개 취약점입니다. 이 정보는 추가적인 공격을 계획하는 데 악용될 수 있습니다.
💡 쉬운 설명
phpMyAdmin의 특정 테마 파일에 누구나 직접 접근할 수 있어서, 서버의 폴더 위치 정보가 오류 메시지에 노출됩니다. 공격자는 이 정보를 이용해 더 큰 공격을 준비할 수 있습니다.
🇺🇸 원문 (English)
phpMyAdmin 2.9.1.1 allows remote attackers to obtain sensitive information via a direct request for themes/darkblue_orange/layout.inc.php, which reveals the path in an error message.
📍 영향받는 시스템
phpMyAdmin 2.9.1.1 이전 버전
⚔️ 공격 벡터
웹 브라우저에서 직접 URL을 통해 /themes/darkblue_orange/layout.inc.php 파일에 접근하여 오류 메시지 확인
🛡️ 대응 방법
phpMyAdmin을 최신 보안 패치가 적용된 버전으로 업그레이드하거나 웹 서버에서 .inc.php 파일 직접 접근 차단
🔧 검증 코드
설치된 phpMyAdmin 버전을 확인하여 2.9.1.1 이전인지 확인하고, 구버전이면 즉시 업그레이드 필요
dpkg -l 2>/dev/null | grep -i phpmyadmin | awk '{print $2, $3}'