🇰🇷 한글 설명
phpMyAdmin의 설정 가져오기 기능에서 arg_separator 설정이 기본값(&)이 아닐 때 CSRF 토큰이 반환 URL에서 제대로 제거되지 않는 취약점입니다. 이를 통해 공격자가 CSRF 공격을 수행할 수 있습니다.
💡 쉬운 설명
phpMyAdmin에서 설정을 가져올 때 보안 검증(CSRF 토큰)이 제대로 작동하지 않을 수 있습니다. 공격자가 관리자를 속여 악의적인 설정을 강제로 적용할 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in phpMyAdmin. When the arg_separator is different from its default & value, the CSRF token was not properly stripped from the return URL of the preference import action. All 4.6.x versions (prior to 4.6.5), 4.4.x versions (prior to 4.4.15.9), and 4.0.x versions (prior to 4.0.10.18) are affected.
📍 영향받는 시스템
phpMyAdmin 4.6.x (< 4.6.5), 4.4.x (< 4.4.15.9), 4.0.x (< 4.0.10.18)
⚔️ 공격 벡터
CSRF: 설정 가져오기 기능의 CSRF 토큰 검증 우회를 통한 악의적 설정 적용
🛡️ 대응 방법
phpMyAdmin을 4.6.5, 4.4.15.9, 4.0.10.18 이상의 버전으로 업그레이드하세요
🔧 검증 코드
phpMyAdmin 버전을 확인하여 영향받는 버전 범위에 해당하는지 확인합니다. 버전이 4.6.5, 4.4.15.9, 4.0.10.18 이상이면 패치됨
grep -r "arg_separator" /path/to/phpmyadmin/config.default.php 2>/dev/null || find /usr/share/phpmyadmin -name 'Version.php' -exec grep -H 'VERSION' {} \;