laatste phpmyadmin exploitable

[HunterPro]

quote: http://webwereld.nl/articles/37755

Dinsdag 11 oktober 2005, 13:05 - Experts hebben een lek ontdekt in Phpmyadmin waarmee kwaadwillenden toegang kunnen krijgen tot de server.

Het lek, in de grab_globals-library, is ontdekt door beveiligingsonderzoekers van SecurityReason. Om het lek te kunnen misbruiken, dient een aanvaller wel toegang te hebben tot Phpmyadmin - een veelgebruikte frontend voor mysql-databases.

Volgens kenners is het ontdekte lek vooral een beveiligingsrisico voor hostingbedrijven. Klanten kunnen daar veelal zelf een Phpmyadmin-pakket installeren. Indien deze niet of niet goed is beveiligd, kunnen aanvallers het lek misbruiken.

Door de fout in grab_globals.lib.php is het mogelijk voor kwaadwillenden om via het commando 'subform[][redirect]' in een formulier bestanden buiten de webroot te zien.

Volgens SecurityReason is in ieder geval de vorige maand vrijgegeven versie phpmyadmin-2.6.4-pl1.pl gevoelig voor het lek. Waarschijnlijk zijn ook voorgaande versies gevoelig.

Wie weet wat deze exploit precies inhoudt, wat het precies doet, en wat men bedoelt met 'toegang dienen te hebben tot phpmyadmin'? Betekent dat dat iemand zonder gebruikersnaam/wachtwoord om in te loggen op phpMyAdmin, er niks mee kan? Zijn er al ideeën van (snelle) fixes?

[Rob]

De kwaadwillende kan bestanden lezen die niet in de webroot staan. Oftwel, de kwaadwillende zou de /etc/passwd kunnen lezen.
Hij heeft hiervoor, zo te lezen, wel volledige toegang nodig tot phpmyadmin.

[Glashelder]

Lijkt me sterk, dat zou een exploit in Apache moeten zijn dan? Apache heeft daar toch geen toegang toe...

[ Voor 5% gewijzigd door Glashelder op 11-10-2005 13:29 ]

[HunterPro]

ligt er helemaal aan hoe je systeem ingedeeld is en als je php niet in safemode draait en men kan via de exploit system calls gaan maken, is het hek natuurlijk van de spreekwoordelijke dam

[ Voor 59% gewijzigd door HunterPro op 11-10-2005 13:30 ]

[Olaf van der Spek]

-Rob- schreef op dinsdag 11 oktober 2005 @ 13:26:
De kwaadwillende kan bestanden lezen die niet in de webroot staan. Oftwel, de kwaadwillende zou de /etc/passwd kunnen lezen.
Hij heeft hiervoor, zo te lezen, wel volledige toegang nodig tot phpmyadmin.

Tegenwoordig heeft toch iedereen shadow passwords?

[Glashelder]

Sja maar dat zou dan toch echt een bug in PHP/apache moeten zijn..phpmyadmin is op zich geen applicatie die op je systeem draait, PHP en Apache daarintegen wel.

[pasta]

Glashelder schreef op dinsdag 11 oktober 2005 @ 13:29:
Lijkt me sterk, dat zou een exploit in Apache moeten zijn dan? Apache heeft daar toch geen toegang toe...

Dat heeft niets met Apache te maken, het heeft te maken met het account waar je Apache op draait. Als je Apache op root zou draaien, dan kan je dus idd overal bij.

[Glashelder]

pasta schreef op dinsdag 11 oktober 2005 @ 17:11:
[...]

Dat heeft niets met Apache te maken, het heeft te maken met het account waar je Apache op draait. Als je Apache op root zou draaien, dan kan je dus idd overal bij.

Glashelder schreef op dinsdag 11 oktober 2005 @ 13:29:
Lijkt me sterk, dat zou een exploit in Apache moeten zijn dan? Apache heeft daar toch geen toegang toe...

Dat bedoelde ik daar mee Maar apache als user zou daar toch niet bij moeten kunnen komen..?

Ik ging er dus ff vanuit dat het normaal is om apache niet als root te draaien

[ Voor 7% gewijzigd door Glashelder op 11-10-2005 17:26 ]

[Verwijderd]

Glashelder schreef op dinsdag 11 oktober 2005 @ 17:25:

Dat bedoelde ik daar mee Maar apache als user zou daar toch niet bij moeten kunnen komen..?

Ik ging er dus ff vanuit dat het normaal is om apache niet als root te draaien

een exploit komt niet verder dan de rechten van de gebruiker waarmee apache loopt, maar of de meeste als niet root draaien is twijfelachtig, zeker in windows.

[nhimf]

Apache draait meestal als nobody onder *nix. Dat is de standaard instelling en nobody heeft (naast geen shell toegang) zo goeg als geen rechten. Dus als iemand onder *nix apache als root heeft draaien dan is het wel een grote #^#%#%# (ik censureer mij even).
Onder windows inderdaad een ander verhaal.

Daarnaast shadow passwords zijn bruteforce te "kraken"

Toegang, ik denk (maar weet niet zeker) dat je een gebruikersnaam/wachtwoord moet hebben op de admin. Maar zowiezo is het beter om dit soort dingen helemaal niet toegankelijk te maken voor de buitenwereld (tenzij echt nodig).
Handig is om een .htaccess (oid) te maken bovenop de login van de admin zelf. Heb je dubbele "zekerheid". Maakt het allemaal net iets lastiger en grote kans dat ze jouw servertje overslaan.

[Verwijderd]

Volgensmij hebben ze bij mij ook van deze expoit gebruikt gemaakt. Volgensmij is er nog geen fix.

Verborgen FTP geplaats door duitse hackers.

[Verwijderd]

hier is een goed voorbeeld van hoe windows extra beveiligd kan worden met acls. welke onbekende apache-exploit er ook bestaat, op m'n configuratie komen ze gegarandeerd niet buiten de webroot. trouwens kun je je phpadmin ook eenvoudig .htaccessen. maar over de configuratie van webhosters heb je nooit voldoende controle.

[Olaf van der Spek]

phpMyAdmin-2.6.4-pl2 is released

http://www.phpmyadmin.net/home_page/index.php