Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

phpMyAdmin >= 4.0.0
phpMyAdmin <= 4.0.10.2 phpMyAdmin >= 4.1.0
phpMyAdmin <= 4.1.14.3 phpMyAdmin >= 4.2.0
phpMyAdmin <= 4.2.7.1 Typo3 Extension Betroffene Plattformen: Apple Mac OS GNU/Linux Microsoft Windows Mehrere Schwachstellen in den TYPO3 System-Erweiterungen phpMyAdmin (phpmyadmin) und JobControl (dmmjobcontrol) ermöglichen einem entfernten und zumeist nicht authentisierten Angreifer beliebige SQL-Befehle einzuschleusen (JobControl) und somit zur Ausführung zu bringen sowie Cross-Site-Scripting (XSS) und Cross-Site Request Forgery (CSRF)-Angriffe durchzuführen. Die Extension JobControl wird nicht länger von TYPO3 unterstützt und sollte deinstalliert und das betreffende Verzeichnis gelöscht werden. Patch: phpMyAdmin Security Advisory PMASA-2014-8 http://www.phpmyadmin.net/home_page/security/PMASA-2014-8.php

Patch:

phpMyAdmin Security Advisory PMASA-2014-10

http://www.phpmyadmin.net/home_page/security/PMASA-2014-10.php

Patch:

TYPO3 Security Bulletin: TYPO3-EXT-SA-2014-011

https://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2014-011

Patch:

TYPO3 Security Bulletin: TYPO3-EXT-SA-2014-012

https://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2014-012

CVE-2014-6300: Schwachstelle in phpMyAdmin ermöglicht
Cross-Site-Request-Forgery

In phpMyAdmin besteht, ausgehend von einer lokalen
Cross-Site-Scripting-Schwachstelle (DOM-based-XSS) in der “microhistory”
Funktion, eine Cross-Site-Request-Forgery-Schwachstelle (CSRF). Ein
entfernter, nicht authentisierter Angreifer kann, mit Hilfe einer
veränderten URL, die Schwachstelle ausnutzen, um beliebigen Programmcode zur
Ausführung zu bringen oder in bestimmten Fällen Administratorrechte zu
erlangen.

CVE-2014-5273: Mehrere Schwachstellen in phpMyAdmin-Komponenten ermöglicht
Cross-Site-Scripting

In mehreren phpMyAdmin-Komponenten bestehen Schwachstellen. Datenbank-,
Tabellen- und Key-Namen werden fehlerhaft behandelt und können von einem
entfernten, einfach authentisierter Angreifer, mit Hilfe von veränderten
Datenbank- und Tabellennamen, sowie mit manipulierten Primary-Key
Bezeichnern, beim Löschen einer Spalte, zu Cross-Site-Scripting-Angriffen
ausgenutzt werden. Weiterhin werden Diagramme auf der Monitorseite und
Dialoge im ENUM-Editor fehlerhaft verarbeitet. Ein Angreifer kann mit
veränderten Werten, Koordinatenachsenbezeichnungen und Namen von
Datenbankrelationen die Schwachstelle zu
“Self-Cross-Site-Scripting-Angriffen” ausnutzen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1281/

phpMyAdmin Security Advisory PMASA-2014-8:
http://www.phpmyadmin.net/home_page/security/PMASA-2014-8.php

Schwachstelle CVE-2014-5273 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-5273

phpMyAdmin Security Advisory PMASA-2014-10:
http://www.phpmyadmin.net/home_page/security/PMASA-2014-10.php

Schwachstelle CVE-2014-6300 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6300

TYPO3 Security Bulletin: TYPO3-EXT-SA-2014-011:
https://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2014-011

TYPO3 Security Bulletin: TYPO3-EXT-SA-2014-012:
https://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2014-012

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.