Os desenvolvedores do phpMyAdmin, um dos mais populares e amplamente usados sistemas de gerenciamento de banco de dados de MySQL, lançaram hoje uma versão atualizada (4.8.4) do seu software para corrigir várias vulnerabilidades importantes que permitem que invasores remotos controlem os servidores web afetados.
O projeto phpMyAdmin, divulgado no último domingo, alertou sobre a última atualização em seu blog, provavelmente pela primeira vez, como uma experiência para se descobrir se pré anúncios podem auxiliar os administradores de sites, provadores de hospedagem e gerentes de pacotes a se prepararem melhor para os futuros lançamentos de atualizações de segurança.
Somos inspirados pelo fluxo de trabalho dos outros projetos (como o Mediawiki e outros) que anunciam antecipadamente qualquer lançamento de segurança para permitir que os mantenedores de pacotes e provedores de hospedagem se preparem. Estamos experimentando para ver se esse fluxo de trabalho é adequado para o nosso projeto.” disse Isaac Bennetch, gerente de lançamento do phpMyAdmin ao site The Hacker News.
O phpMyAdmin é uma ferramenta de administração gratuita e de código aberto para gerenciar bancos de dados MySQL usando uma interface gráfica simples no navegador da web
Quase todos os serviços de hospedagem pré instalam o phpMyAdmin com seus painéis de controle para ajudar os webmasters a gerenciar facilmente seus banco de dados para sites, incluindo o WordPress, Joomla e muitas outras plataformas de gerenciamento de conteúdo.
Além de muitas correções de bugs, existem basicamente três vulnerabilidades de segurança críticas que afetam as versões do phpMyAdmin revelou em seu último comunicado.
Novas vulnerabilidades do phpMyAdmin
Aqui se encontram as vulnerabilidades detalhadas e recém encontradas do phpMyAdmin:
1 – Inclusão de arquivos locais (CVE-2018-19968) – as versões phpMyAdmin de pelo menos 4.0 até 4.8.3 incluem uma falha de inclusão de arquivos local que podem permitir que um atacante remoto leia conteúdos sensíveis de arquivos locais no servidor por meio de seu recurso de transformação.
1.1 – O invasor deve ter acesso às tabelas do phpMyAdmin – Configuration Storage, embora possam ser facilmente criadas em qualquer banco de dados ao qual o invasor tenha acesso. Um invasor deve ter credenciais válidas para efetuar login, essa vulnerabilidade não permite que um invasor contorne o sistema de login.
2 – Cross Site Request Falsificação (CSRF/XSRF) (CVE-2018-19969) – o phpMyAdmin versões 4.7.0 a 4.7.6 e 4.8.0 a 4.8.3 inclui uma falha CSRF/XSRF, que se explorada, poderia permitir que os invasores “executem operações de SQL prejudiciais, como renomear o banco de dados, criar novas tabelas/rotinas, excluir páginas de designer, adicionar/excluir usuários, matar processos SQL apenas convencendo as vítimas a abrir links especialmente criados.
3 – Cross-site scripting (XSS) (CVE-2018-19970) – O software também inclui uma vulnerabilidade de script entre sites em sua árvore de navegação, que tambéma afeta versões da 4.0 até a 4.8.3, onde o invasor consegue por ventura injetar um código malicioso através de um nome de banco de dados/tabelas especialmente criadas.
Para resolver todas as vulnerabilidades de segurança listadas acima, os desenvolvedores do phpMyAdmin lançaram hoje a última versão 4.8.4, bem como patches separados para algumas versões anteriores.
Os administradores de site e provedores de hospedagem são altamente recomendados à instalarem as atualizações mais recentes imediatamente.
