یک محقق امنیت سایبری به تازگی جزئیات و PoC آسیب پذیری روز صفر را در phpMyAdmin — یکی از محبوب ترین برنامه های کاربردی برای مدیریت پایگاه داده های MySQL و MariaDB __ منتشر کرده است.

phpMyAdmin یک ابزار مدیریت رایگان و منبع باز برای MySQL و MariaDB است که به طور گسترده برای مدیریت پایگاه داده برای وب سایت های ایجاد شده با WordPress، Joomla و بسیاری از پلتفرم‌‌های مدیریت محتوا استفاده می شود.

این آسیب پذیری توسط محقق امنیتی pentester Manuel Garcia Cardenas کشف شده است که گفته می‌شود یک نقص cross-site request forgery (CSRF) می‌باشد که به نام XSRF نیز شناخته می‌شود. یک حمله مشهور که در آن، مهاجمان کاربران را فریب می‌دهند تا یک عمل نا آگاهانه ای انجام دهند.

این آسیب پذیری با شناسه ی CVE-2019-12922 شناخته می شود و درجه ی اهمیت آن متوسط می باشد. زیرا مثلا فقط به یک مهاجم اجازه می دهد  سروری را که در صفحه تنظیم یک phpMyAdmin پنل در سرور قربانی تنظیم شده است، حذف کند.

همچنین این یک موضوع نگران کننده نیست، زیرا این حمله به مهاجمان اجازه نمی دهد دیتابیس یا تیبل ذخیره شده‌ای را روی سرور حذف کنند.

تنها چیزی که یک مهاجم نیاز دارد این است که یک URL ساختگی را به ادمین های  قربانی که قبلا در سیستم در پنل phpMyAdmin لوگین کرده اند، ارسال کرده و با فریب آنها مبنی بر کلیک برروی لینک، سرور پیکربندی شده را ندانسته حذف کنند.

Cardenas در پست خود به طور کامل افشا می کند: “مهاجم می تواند به راحتی یک لینک جعلی شامل درخواستی را که می خواهد از طرف کاربر اجرا شود، ایجاد کرده، و از این طریق حمله CSRF را به دلیل استفاده نادرست از روش HTTP امکان پذیر کند.”

با این وجود، سواستفاده کردن از این آسیب پذیری خیلی راحت می باشد. زیرا غیر از دانستن URL سرور هدف، یک مهاجم نیازی به دانستن اطلاعات دیگری مانند نام پایگاه داده ها ندارد.

کد PoC

این نقص روی تمامی نسخه های phpMyAdmin که آخرین آن‌ها ۴.۹.۰.۱ است تأثیر می گذارد.

Cardenas به The Hacker News گفت: این نقص امنیتی در phpMyAdmin 5.0.0-alpha1 که در ژوئیه سال ۲۰۱۹ منتشر شده نیز موجود است.

Cardenas این آسیب پذیری را در ژوئن سال ۲۰۱۹ کشف کرد ، و آن را به مدیران پروژه گزارش داده است.

با این حال، پس از اینکه پشتیبانی phpMyAdmin نتوانست آسیب پذیری را در مدت ۹۰ روز پس از اطلاع رسانی وصله کند، محقق تصمیم گرفت جزئیات آسیب پذیری و PoC را در ۱۳ سپتامبر منتشر کند.

برای پرداختن به این آسیب پذیری، Cardenas توصیه کرد که: ” در هر فراخوانی (call) توکن را اعتبار سنجی کنید، همانطور که در سایر درخواست های phpMyAdmin  این عمل صورت می پذیرد.

تا زمانی که تیم پشتیبانی آسیب پذیری‌ را وصله نکنند، به مدیران وب سایت و ارائه دهندگان میزبان توصیه می شود از کلیک کردن روی هرگونه لینک مشکوک خودداری کنند.