—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

Liebe Kolleginnen und Kollegen,

soeben erreichte uns nachfolgende Warnung des Debian-Teams. Wir geben
diese Informationen unveraendert an Sie weiter.

CVE-2010-4329 – Cross-site Scripting Schwachstelle im phpMyAdmin db
search Script

Die Funktion PMA_linkOrButton() des “db search script” (in:
libraries/common.lib.php) von phpMyAdmin 2.11.x vor Version 2.11.11.1
sowie 3.x vor Version 3.3.8.1 ueberprueft Requests nicht ausreichend,
wodurch ein entfernter Angreifer beliebigen Script- oder HTML-Code im
Browser anderer Benutzer ausfuehren lassen kann (Cross-site Scripting).

CVE-2010-4480 – Cross-Site Scripting Schwachstelle in PhpMyAdmin

PhpMyAdmin in den Versionen vor 3.4.0-beta1 enthaelt eine Schwachstelle
in “error.php” bei der Verarbeitung von Eingabedaten. Mittels
praeparierter BBcode-Nachrichten, die “@”-Zeichen enthalten, kann ein
entfernter Angreifer diese Schwachstelle ausnutzen um HTML- und
Script-Code im Kontext des Webbrowsers des Anwenders zur Ausfuehrung zu
bringen.

CVE-2010-4481 – Schwachstelle in phpMyAdmin ermoeglicht das Ausspaehen
von Daten

In phpMyAdmin vor Version 3.4.0-beta1 gibt es eine Schwachstelle. Das
Script “phpinfo.php” – welches die Funktion phpinfo() aufruft – wird bei
der Installation so im Dateisystem abgelegt, dass entfernte Angreifer es
direkt aufrufen und so an moeglicherweise sensitive Daten gelangen
koennen.

Betroffen sind die folgenden Software Pakete und Plattformen:

Paket phpmyadmin vor Version 2.11.8.1-5+lenny7 (lenny)
Paket phpmyadmin vor Version 3.3.7-3 (squeeze, sid)

Stable Distribution (lenny)
Testing Distribution (squeeze)
Unstable Distribution (sid)

Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.

(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.

Mit freundlichen Gruessen,
Tilmann Haak

– —
Dipl.-Inform. Tilmann Haak (Incident Response Team)

DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-590
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski

Automatische Warnmeldungen: https://www.cert.dfn.de/autowarn

– —–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1

– – ————————————————————————
Debian Security Advisory DSA-2139-1 security@debian.org
http://www.debian.org/security/ Thijs Kinkhorst
December 31, 2010 http://www.debian.org/security/faq
– – ————————————————————————

Package : phpmyadmin
Vulnerability : several
Problem type : remote
Debian-specific: no
CVE ID : CVE-2010-4329 CVE-2010-4480 CVE-2010-4481

Several vulnerabilities have been discovered in phpMyAdmin, a tool
to administer MySQL over the web. The Common Vulnerabilities and Exposures
project identifies the following problems:

CVE-2010-4329

Cross site scripting was possible in search, that allowed
a remote attacker to inject arbitrary web script or HTML.

CVE-2010-4480

Cross site scripting was possible in errors, that allowed
a remote attacker to inject arbitrary web script or HTML.

CVE-2010-4481

Display of PHP’s phpinfo() function was available to world, but only
if this functionality had been enabled (defaults to off). This may
leak some information about the host system.

For the stable distribution (lenny), these problems have been fixed in
version 2.11.8.1-5+lenny7.

For the testing (squeeze) and unstable distribution (sid), these problems
have been fixed in version 3.3.7-3.

We recommend that you upgrade your phpmyadmin package.

Further information about Debian Security Advisories, how to apply
these updates to your system and frequently asked questions can be
found at: http://www.debian.org/security/

Mailing list: debian-security-announce@lists.debian.org

– —–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.10 (GNU/Linux)

iQEcBAEBAgAGBQJNHf0sAAoJEOxfUAG2iX57ulcIAL/G01SH84xfAQeKRarQSM+L
JdOx/v9un204DK+N2Cj9qwI/oCY8gVoyISU1emufUgmsl5f0osADWpL6kv0gCaKk
ADXYs77K78/KDa3eixWMVMkspRxZBXA6TT6GkgSZYB14pF2krFOKXpUc3kk9dy3v
I1qV9YnJhw/gXGn7XX6/Htnuu9aYqGc4+GcfFYW0j8FeJ8Og/VmgubkITvUyAHiR
HE98xPwek8WhTXdsNsqpseraeaoscdizCbIfb2fHSaCJKZj+sY5eeVVOaqsG4RdV
T34FuRRjsl0FrHEWSZK650cKcMvU3loAcCJnx94PTW5oqk7XDQihlInaoqEBlNY=
=ZWgu
– —–END PGP SIGNATURE—–

—–BEGIN PGP SIGNATURE—–
Version: GnuPG v2.0.9 (GNU/Linux)

iQEcBAEBAgAGBQJNIvt1AAoJEJtyb8U7iGZBKZoIAIbZJOd+JZR2IW0VBAyKfZsP
tVg+B0nyAOny+/B6PX82p5kyfwVwnGgl8D8cfCuCna5LnZbD0vosUyOtsfbx5od/
B2gAPMo/UE+tQygc83RVIUosOby2qBOW/cdGLaQgftxWj9WIdnQTFnHGFOJUkhcu
pPyBZfrsl8ASLSdWM0H4NZ5A+tlceltsuJBWenWsh3wuuAhsQ8Ds8VNq+PZJiTzm
36PvHZYi+CXh0mxb+6hbdvHhVCdUjb3i4V0dsdlUjIX67ZfdjSXEU6he4/nSjmWR
pI3VFubKeTpO3AgGccfDbKwXln1NW2NUy1QHa360eowM+N3UK1tZ4Wa1YX1XkS0=
=zgcx
—–END PGP SIGNATURE—–