blob: 57aa9facf55d478fa6e8403628261d9150e2ac92 (
plain) (
blame)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
|
#use wml::debian::translation-check translation="b128ca5f062ffd92dfde8a7b5888d4e87ec075f2"
<define-tag description>複数の脆弱性</define-tag>
<define-tag moreinfo>
<p>
web ブラウザ上で MySQL を管理するプログラム phpMyAdmin
にリモートから攻撃可能な複数の脆弱性が発見されました。
Common Vulnerabilities and Exposures プロジェクトでは以下の問題を認識しています:</p>
<ul>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2007-1325">CVE-2007-1325</a>
<p>libraries/common.lib.php 中の PMA_ArrayWalkRecursive
関数がユーザから与えられた配列に対して再帰を制限していないため、
内容に依存しますが、攻撃者が多次元配列によってサービス不能
(DoS) 攻撃 (web サーバのクラッシュ) を引き起こすことが可能になっています。</p>
<p>この問題は安定版ディストリビューション (stable、コードネーム etch)
にのみ影響を与えます。</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2007-1395">CVE-2007-1395</a>
<p>index.php 中でのブラックリストが不完全であるという脆弱性によって、大文字の
</SCRIPT> 終了タグに続けて任意の JavaScript あるいは HTML を
(1) db パラメータまたは (2) table パラメータ値に挿入することで、小文字の </script>
に対しての防御を迂回して、攻撃者がリモートからクロスサイトスクリプティング (XSS)
攻撃を実行可能になります。</p>
<p>この問題は安定版ディストリビューション (stable、コードネーム etch)
にのみ影響を与えます。</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2007-2245">CVE-2007-2245</a>
<p>複数のクロスサイトスクリプティング (XSS) 脆弱性が存在しており、
(1) browse_foreigners.php で fieldkey パラメータを使う、あるいは
(2) PMA_sanitize 関数に特定の値を与えることで、攻撃者がリモートから任意の
web スクリプトや HTML を挿入可能になります。</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-6942">CVE-2006-6942</a>
<p>複数のクロスサイトスクリプティング (XSS) 脆弱性によって、
(a) db_operations.php で (1) テーブル名へのコメントを、
(b) db_create.php で (2) db パラメータを、
(3) db_operations.php で newname パラメータを、
(c) querywindow.php で (4) query_history_latest パラメータ、
(5) query_history_latest_db パラメータ、および (6) querydisplay_tab パラメータを、
(d) sql.php で (7) pos パラメータをそれぞれ利用することで、攻撃者がリモートから任意の
HTML や web スクリプトを挿入可能になっています。</p>
<p>この問題は旧安定版ディストリビューション (oldstable、コードネーム sarge)
にのみ影響を与えます。</p></li>
<li><a href="https://security-tracker.debian.org/tracker/CVE-2006-6944">CVE-2006-6944</a>
<p>phpMyAdmin は、リモートから攻撃者が偽装した IP ヘッダアドレスを利用して、
Allow/Deny アクセスルールを迂回するのが可能となっています。</p>
<p>この問題は旧安定版ディストリビューション (oldstable、コードネーム sarge)
にのみ影響を与えます。</p></li>
</ul>
<p>旧安定版ディストリビューション (oldstable、コードネーム sarge) では、
これらの問題はバージョン 2.6.2-3sarge5 で修正されています。</p>
<p>安定版ディストリビューション (stable、コードネーム etch) では、
これらの問題はバージョン 2.9.1.1-4 で修正されています。</p>
<p>不安定版ディストリビューション (unstable、コードネーム sid) では、
これらの問題はバージョン 2.10.1-1 で修正されています。</p>
<p>phpmyadmin パッケージのアップグレードをお勧めします。</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2007/dsa-1370.data"
|
