phpMyAdmin 4.8 系において Local File Inclusion により遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report) | ScanNetSecurity
2019.11.21(木)

phpMyAdmin 4.8 系において Local File Inclusion により遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report)

phpMyAdmin 4.8 系に、Local File Inclusion により遠隔から任意のコードが実行可能となる脆弱性が報告されています

脆弱性と脅威 エクスプロイト
phpMyAdmin
phpMyAdmin 全 1 枚 拡大写真
◆概要

phpMyAdmin 4.8 系に、Local File Inclusion により遠隔から任意のコードが実行可能となる脆弱性が報告されています。攻撃者により脆弱性を悪用されてしまった場合、任意の PHP コードを実行されてホストに侵入されてしまう可能性があります。

◆分析者コメント

対象ホストのデータベースへの認証情報が必要となる脆弱性ですが、SELECT 文が発行できるアカウントでログインに成功すれば悪用可能な脆弱性であるため、ほぼすべてのデータベースアカウントが悪用可能です。アップデートや認証情報の強化はもちろんですが、ソフトウェアの性質上、インターネット経由でアクセスできないようにアクセス制限を確認することを推奨します。

◆深刻度(CVSS)

本記事執筆時点 (2018 年 7 月 19 日) で CVSS 値情報の公開はありません。

◆影響を受けるソフトウェア

phpMyAdmin 4.8 系のうち、バージョン 4.8.2 未満が当該脆弱性の影響を受けます。phpMyAdmin 4.7 以下は当該脆弱性の影響を受けません。

◆解説

世界的なシェアを誇るデータベース管理用 Web コンソールソフトウェアである phpMyAdmin のバージョン 4.8 系に、Local File Inclusion により遠隔から任意のコードが実行可能となる脆弱性が報告されています。

《株式会社ラック サイバー・グリッド研究所》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. 社内パソコンのウイルス感染、複数顧客から不審メール受信の連絡(ニッポンレンタカーサービス)

    社内パソコンのウイルス感染、複数顧客から不審メール受信の連絡(ニッポンレンタカーサービス)

  2. プライベート情報全収集しマネタイズする社会実験応募者へメール誤送信、損害賠償実施予定(Plasma)

    プライベート情報全収集しマネタイズする社会実験応募者へメール誤送信、損害賠償実施予定(Plasma)

  3. 新システム開発の再委託先が不正アクセス、国体参加者と公認スポーツ指導者データが削除(日本スポーツ協会)

    新システム開発の再委託先が不正アクセス、国体参加者と公認スポーツ指導者データが削除(日本スポーツ協会)

  4. レイセオン社の「航空」サイバーセキュリティ対策製品と攻撃実証(The Register)

    レイセオン社の「航空」サイバーセキュリティ対策製品と攻撃実証(The Register)

  5. ガートナーが考える「攻撃者視点」とは──脅威ベースのペネトレーション・テスト(TLPT)最新動向

    ガートナーが考える「攻撃者視点」とは──脅威ベースのペネトレーション・テスト(TLPT)最新動向

  6. 電子カルテ上のデータを目視し入力したファイルを私用のUSBメモリで持ち出し紛失(島根大学)

    電子カルテ上のデータを目視し入力したファイルを私用のUSBメモリで持ち出し紛失(島根大学)

  7. オムロンの制御システム向けソフトに複数の脆弱性(JVN)

    オムロンの制御システム向けソフトに複数の脆弱性(JVN)

  8. 楽天プライムを利用できないとする偽メールを確認(フィッシング対策協議会)

    楽天プライムを利用できないとする偽メールを確認(フィッシング対策協議会)

  9. Windows 7などのサポート終了に対し、現状と支援施策を発表(日本マイクロソフト)

    Windows 7などのサポート終了に対し、現状と支援施策を発表(日本マイクロソフト)

  10. ダブルチェックを怠りお知らせメールを誤送信、1,305件のアドレスが流出(すららネット)

    ダブルチェックを怠りお知らせメールを誤送信、1,305件のアドレスが流出(すららネット)

ランキングをもっと見る