🇰🇷 한글 설명
phpMyAdmin 4.0.x, 4.4.x, 4.6.x 버전에서 FormDisplay.php의 배열 값, validate.php의 부정확한 데이터, Validator.php의 예상치 못한 데이터, 누락된 설정 디렉토리, OpenID 식별자 데이터 타입 오류 등 5가지 벡터를 통해 원격 공격자가 민감한 정보를 획득할 수 있습니다. 에러 메시지를 통해 시스템의 전체 경로 정보가 노출됩니다.
💡 쉬운 설명
phpMyAdmin이라는 데이터베이스 관리 도구가 잘못된 입력을 받으면 에러 메시지로 서버 시스템의 상세 경로를 노출하는 문제입니다. 공격자가 이 정보를 이용해 추가 공격을 계획하고 실행할 수 있습니다.
🇺🇸 원문 (English)
phpMyAdmin 4.0.x before 4.0.10.16, 4.4.x before 4.4.15.7, and 4.6.x before 4.6.3 allows remote attackers to obtain sensitive information via vectors involving (1) an array value to FormDisplay.php, (2) incorrect data to validate.php, (3) unexpected data to Validator.php, (4) a missing config directory during setup, or (5) an incorrect OpenID identifier data type, which reveals the full path in an error message.
📍 영향받는 시스템
phpMyAdmin 4.0.x (4.0.10.16 미만), 4.4.x (4.4.15.7 미만), 4.6.x (4.6.3 미만)
⚔️ 공격 벡터
FormDisplay.php로 배열 값 전송, validate.php로 부정확한 데이터 전송, Validator.php로 예상치 못한 데이터 전송, 설정 디렉토리 누락, OpenID 식별자 타입 오류를 통한 정보 공개
🛡️ 대응 방법
phpMyAdmin을 4.0.10.16, 4.4.15.7, 또는 4.6.3 이상의 안전 버전으로 즉시 업그레이드하세요.
🔧 검증 코드
설치된 phpMyAdmin 버전이 4.0.10.16, 4.4.15.7, 4.6.3 이상인지 확인하세요. 취약한 버전이면 즉시 업그레이드 필요합니다.
dpkg -l phpmyadmin 2>/dev/null | grep phpmyadmin || find /usr/share/phpmyadmin -name 'VERSION' -exec cat {} \; 2>/dev/null