Информационная безопасность

индекс
289,97

Для phpMyAdmin появился эксплоит

Зашел только что в свой почтовый ящик и увидел письмо от своего провайдера где арендую VPS, что в для phpmyadmin появился эксплоит. Вот само письмо:

Добрый вечер! По проверенной информации, для PhpMyAdmin имеется эксплоит, позволяющий взломать сервер, как физический, так и виртуальный. Он уже используется как минимум пару дней и как результат его действий может быть наличие файлов /tmp/vm.c и /tmp/dd_ssh, являющихся зловредным ПО. Поэтому требуется в срочном порядке обновить PhpMyAdmin.
==Инструкция по обновлению на Debian==
Вот репорт об этой проблем от Debian Security Team: www.debian.org/security/2010/dsa-2034 До обновления проверьте используемую версию Debian: cat /etc/debian_version 5.0.5 Если цифры 5.0.*, то у Вас Lenny и продолжайте читать инструкцию. Если же 4.0.*, то стоит прибегнуть к услугам сторонних администраторов (либо нашей поддержки), чтобы они обновили систему до Lenny. Для обновления PhpMyAdmin на Debian 5 Lenny сделайте следующее: apt-get update; apt-get upgrade -y phpmyadmin; Если же Вы обладаете навыками администрирования, то лучше обновите всю систему целиком: apt-get upgrade -y; ==Инструкция по обновлению на CentOS== yum upgrade -y phpmyadmin; Либо в идеале, если есть навыки администрирования, то обновляем всю систему: yum update -y;

Если есть какая нибудь подробная информация присылайте в ЛС опубликую в топике.
+49
5 августа 2010, 22:41
29

комментарии (66)

+7
KrasivayaSvo #
Скорее всего речь идет об уязвимости, связанной с функцией unserialize. Информация об этой уязвимости появилась в листах еще в январе 2010 года:
phpmyadmin.net
securityfocus.com
Вкратце суть в том, что в файле setup.php существует ошибка, которая позволяет запихнуть в функцию unserialize непроверенные данные, которые могут повлечь взлом.
Уязвимы все версии до 2.11.10.
Рекомендации: обновиться до 2.11.10 или 3.0.0 и выше
На предмет каких-то новых уязвимостей в phpMyAdmin с тех пор тишина.
0
kiev #
а достаточно будет сделать проще
вот так
locate setup.php | xargs -I '{}' rm '{}'
?
+5
bondbig #
мне от fastvps пришло письмо, вам тоже? Текст один в один.
0
script88 #
да именно
+13
pavelodintsov #
Всем клиентам пришло, мы еще вчера очень много подобных взломов зафиксировали, но разобрались в источнике только сегодня, сразу и сделали рассылку.
+1
litos #
firstvds.ru, кстати, дня 2 назад в своем твиттере написали что «рекомендуем обновляться в связи с появлением эксплойта»
0
pavelodintsov #
Не подписаны :( Сейчас это исправим :)
0
ainu #
Мне от firstVDS позавчера
+11
Raz0r #
Эксплоит уже более полугода в свободном доступе, является доработанной версией вот этого сплоита. Уязвимость та же, но используется баг с автоматическим выполнением кода в __destruct() после того, как в unserialize() попадают данные со стороны пользователя.
0
dunkle #
Никто не заметил, что второй мануал весит 666кб? :)
0
ColorPrint #
С 3.х веткой все в порядке что ли?
0
litos #
Да, уязвима только 2.x
НЛО прилетело и опубликовало эту надпись здесь
НЛО прилетело и опубликовало эту надпись здесь
0
pavelodintsov #
Они самые, но на наших VPS они, к счастью, не работают. Более опасен второй бинарик, который dd_ssh, он представляет из себя брутфорсер удаленных машин.
НЛО прилетело и опубликовало эту надпись здесь
0
litos #
4 месяца назад было исправление (в Debian), вот и результат…
+1
davinchi #
Ссыль на админа FastVPS.ru
phpsuxx.blogspot.com/2010/08/phpmyadmin.html
0
l0rda #
да ломают уже давно им, расстраивает что в EPEL до сих пор старый пакет, надо руками что ли пересобрать
+1
litos #
yum upgrade -y phpmyadmin который они рекомендуют как раз из EPEL и ставит (а в стандартном репозитории CentOS нет его) и там новый download.fedora.redhat.com/pub/epel/5/i386/phpMyAdmin-2.11.10-1.el5.noarch.rpm
0
pavelodintsov #
В Epel уже новый пакет, сегодня специально проверял:

yum -q info phpmyadmin
Installed Packages
Name: phpMyAdmin
Arch: noarch
Version: 2.11.10
Release: 1.el5
Size: 12 M
Repo: installed
Summary: Web based MySQL browser written in php
URL: www.phpmyadmin.net/
License: GPLv2+
Description: phpMyAdmin is a tool written in PHP intended to handle the administration of
: MySQL over the Web. Currently it can create and drop databases,
: create/drop/alter tables, delete/edit/add fields, execute any SQL statement,
: manage keys on fields, manage privileges,export data into various formats and
: is available in 50 languages
0
l0rda #
Вчера еще старый был вроде, хорошо, что обновили
0
akzhan #
Вот за это люблю Федору :)

Installed Packages
Name: phpMyAdmin
Arch: noarch
Version: 3.3.4
Release: 1.fc12
–5
bagzilla #
Linux localhost 2.6.32-21-generic-pae #32-Ubuntu SMP Fri Apr 16 09:39:35 UTC 2010 i686 GNU/Linux

VDS от nqhost.com/

в папке /tmp ничего подобного не обнаружено, но спасибо обновил систему.
+3
mgyk #
Ну там дырки постоянно, не понимаю зачем вешать его открыто. Два варианта защититься от его дырок
1) Не испльзовать phpmyadmin.
2) Закрыть его локейшен HTTP авторизацией.
0
ergil #
я чуть ниже написал третий, еще более годный вариант ))
0
ivlis #
3) открывать phpmyadmin на адреса vpn и всего делов.
+1
ergil #
если приходится использовать phpMyadmin, то рекомендую открыть для себя персональные сертификаты для https )) и сделать сертификат пускающий к нему только тому кому оно реально нужно.
+1
alexkbs #
может быть вы и инструкцию для страждущих напишете? был бы вам премного благодарен
0
ergil #
хм, да можно попробовать и инструкцию, если будет сегодня время, то постараюсь, если сегодня не будет, то может на днях…
+2
Scratch #
0
AusTiN #
а для nginx?)))
0
ergil #
а я как раз с нжинкс юзаю )) могу действительно набросать ))
0
AusTiN #
набросайте, буду благодарен:)
+1
bondbig #
для устранения угрозы достаточно просто аутентификации, хоть по логину/паролю. Но по сертификатам лучше, да.
+1
bondbig #
я имел в виду HTTP-аутентификацию, а не аутентификацию самого приложения, ессно.
+2
nicolnx #
phpmyadmin (4:2.11.8.1-5+lenny4) stable-security; urgency=high

* Upload to stable to fix security issues.
* Unserialize called on untrusted data [CVE-2009-4605].
* Predictable temporary file names [CVE-2008-7252].
* May create tempdir with unsafe permissions [CVE-2008-7251].

— Thijs Kinkhorst <thijs@debian.org> Sat, 17 Apr 2010 13:55:41 +0200

Пофиксили ж еще в апреле, чего только в августе саппорт зашевелился?
0
pavelodintsov #
Ранее ее никто не эксплуатировал, сейчас же повально через нее заливают всякую живность.
0
mazy #
«пока гром не грянет — мужик не перекрестится» — народная мудрость…
+1
bagzilla #
\"\"

Здравствуйте,

по проверенной информации, для PhpMyAdmin 3.2.2.1 и 2.11.9.6 имеется эксплоит, позволяющий взломать сервер, как физический, так и виртуальный.

Он уже используется как минимум пару дней и как результат его действий может быть наличие файлов /tmp/vm.c и /tmp/dd_ssh, являющихся зловредным ПО. Поэтому требуется в срочном порядке обновить PhpMyAdmin до последней версии (3.3.4 и др)

Если Вы не можете обновить ПО самостоятельно то вам нужно обратится к администратору или к нам.

С Уважением — 2Servers.Ru
0
porutchik #
А пишут, что 3.x releases are not affected. Кому верить?
0
bagzilla #
думаю лучше перестраховаться.
+2
LifeOS #
спасибо. обновился)
0
alexeym #
о хух
спасибо тебе apparmor (php запрещен доступ к файлам)

кстати open_basedir не помогает?
0
litos #
> кстати open_basedir не помогает?
>
phpmyadmin при установке из репозитория в своем файлике (в /etc/apache2/conf.d/) разрешает open_basedir писать в /tmp (оно ему нужно) и соответственно оттуда и запускается.
0
alexeym #
ну тогда как вариант — можно примаунтить /tmp отдельным разделом с опцией «noexec»
+1
porutchik #
Я правильно понимаю, что если удалить setup.php, то уязвимости придёт конец?
+3
ivlis #
Тоже мне эксплойт. Кто ж setup.php оставляет-то.
0
IMA #
Можно удалить (переместить) весь каталог scripts.
Кроме того, некоторые панели, к примеру Parallels Plesk, не дают доступ к phpMyAdmin без аутентификации в панели.
Если phpMyAdmin используется редко, можно полностью исключать к нему доступ (например, переместить файлы phpMyAdmin). Боты любят лупится по его скриптам.
НЛО прилетело и опубликовало эту надпись здесь
НЛО прилетело и опубликовало эту надпись здесь
0
voidus #
heidiSQL?
НЛО прилетело и опубликовало эту надпись здесь
0
voidus #
Ну тут вроде и не говорили о браузерных альтернативах. Говорили вообще об альтернативах набиранию SQL-запросов в консоли.
НЛО прилетело и опубликовало эту надпись здесь
0
Andrey_Rogovsky #
Если /tmp смонтировано в noexec, то из /tmp никто ничего не запустит
+2
akshakirov #
часто заливают перл скрипт и запускают через perl /tmp/badscript.txt

от этого ноэкзек не спасет.
0
dmiceman #
Спасибо, в GLSA инфы не было (и нет).
+3
FlexIDK #
Вот поэтому мне нравится FreeBSD и ее база портов =) который обновляются практически мгновенно, как выходит новая версия чего-либо…
В портах уже phpMyAdmin 3.3.5, php 5.3.3 и т.д.
0
ilesik #
но без косяков нигде не бывает… обновил quagga до последней версии (из портов) — слетел OSPF (pr уже закоммичен)…
Откатится на пред версию нельзя. (я знаю что бекапить при апдейте нужно было, сам виноват)… но все же…
обновление мгновенное, но до неработающей версии :-(
+1
FlexIDK #
Ну согласен =))) Вот недавно был было два косяка в портах… и все связанные с обновление PNG
После обновления версию, слетал php-gd, те при обработке png изображения с помощью php-gd, рhp падал… Первый косяк решился через 1 месяц, обновилась версия пхп в портах до 5.3.2 (пришлось часть скриптов на сайтах переписывать), второй косяк был также при обновлении PNG с 1.4.1 до 1.4.1_1 — решился через 1.5 месяца, обновлением пхп до 5.3.3

плюс: всегда свежий софт
минус: возникает нестабильность в совместимость

Каждый пусть выберет себе одно из двух… Я выбрал «плюс»
0
jaredhared #
Возможно я неправ, но смысла обновлять кваггу без крайней нужды?
В последний раз, когда мне оно было надо, квагга не понимала ASN32. В остальном — ложить всю автономку на время обновления смысла не особо, имхо.
0
smartlight #
я так понял народ держит phpMyAdmin наружу без каких либо аутентификаций??
что то верится с трудом в такую безалаберность
+2
Decoy #
Может все-таки "Информационная безопасность", а не "Open source"? ;-)
+1
script88 #
Спасибо, сейчас поправлю!
0
pentarh #
pma, белку и прочую индийскую полезную ересь надо всегда закрывать по .htaccess

Только зарегистрированные пользователи могут оставлять комментарии. Войдите, пожалуйста.