🇰🇷 한글 설명
phpMyAdmin 4.x의 import.php가 입력 데이터의 파일 형식을 제대로 검증하지 못하여, 인증된 사용자가 GLOBALS 슈퍼글로벌 배열을 조작할 수 있습니다. 이를 통해 애플리케이션의 설정을 변경하고 보안을 우회할 수 있습니다.
💡 쉬운 설명
phpMyAdmin의 파일 업로드 기능이 형식을 제대로 확인하지 않습니다. 로그인한 사용자가 이를 악용하여 프로그램의 동작 방식을 마음대로 바꿀 수 있습니다.
🇺🇸 원문 (English)
import.php in phpMyAdmin 4.x before 4.0.4.1 does not properly restrict the ability of input data to specify a file format, which allows remote authenticated users to modify the GLOBALS superglobal array, and consequently change the configuration, via a crafted request.
📍 영향받는 시스템
phpMyAdmin 4.0.0 ~ 4.0.4 (4.0.4.1 미만 모든 4.x 버전)
⚔️ 공격 벡터
인증된 사용자가 특수하게 조작된 요청을 import.php로 전송하여 파일 형식을 임의로 지정, GLOBALS 배열 조작
🛡️ 대응 방법
phpMyAdmin을 4.0.4.1 이상으로 업그레이드
🔧 검증 코드
표시되는 버전이 4.0.4.1 이상이면 안전합니다. 4.0.0~4.0.4 범위면 취약하며 즉시 업그레이드 필요합니다.
head -50 /usr/share/phpmyadmin/ChangeLog 2>/dev/null | grep -E 'Version|version' | head -1