🇰🇷 한글 설명
phpMyAdmin의 추적 기능에서 조작된 사용자명 또는 테이블명을 이용한 SQL 인젝션 취약점입니다. 제어 사용자의 권한으로 SQL 명령이 실행되어 설정 저장소 데이터베이스 테이블에 대한 읽기/쓰기 접근이 가능합니다. 제어 사용자가 필요한 권한을 가진 경우 MySQL 데이터베이스 테이블에 대한 읽기 접근도 가능합니다.
💡 쉬운 설명
phpMyAdmin에서 사용자명이나 테이블명 입력란에 악의적인 데이터베이스 명령어를 숨겨 삽입할 수 있는 보안 결함입니다. 공격자는 이를 통해 중요한 데이터베이스 정보를 빼내거나 변조할 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in phpMyAdmin. With a crafted username or a table name, it was possible to inject SQL statements in the tracking functionality that would run with the privileges of the control user. This gives read and write access to the tables of the configuration storage database, and if the control user has the necessary privileges, read access to some tables of the MySQL database. All 4.6.x versions (prior to 4.6.5), 4.4.x versions (prior to 4.4.15.9), and 4.0.x versions (prior to 4.0.10.18) are affected.
📍 영향받는 시스템
phpMyAdmin 4.6.x (4.6.5 이전), 4.4.x (4.4.15.9 이전), 4.0.x (4.0.10.18 이전)
⚔️ 공격 벡터
조작된 사용자명 또는 테이블명을 추적 기능(tracking)에 입력하여 SQL 인젝션 명령 실행
🛡️ 대응 방법
phpMyAdmin을 4.6.5, 4.4.15.9, 또는 4.0.10.18 이상의 패치된 버전으로 업그레이드
🔧 검증 코드
출력되는 버전이 4.6.5, 4.4.15.9, 4.0.10.18 이상이면 안전하고, 이 버전들보다 낮으면 취약점이 존재합니다.
dpkg -l phpmyadmin 2>/dev/null | grep phpmyadmin | awk '{print $3}'