UPDATE: DFN-CERT-2016-0161 phpMyAdmin: Mehrere Schwachstellen ermöglichen u.a. das Umgehen von Sicherheitsvorkehrungen [Linux][Fedora][SuSE][Unix][Solaris][Windows]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 6 (10.03.2016):
In der TYPO3 Extension “phpMyAdmin”, die nicht Bestandteil der TYPO3
Default Installation ist, bis einschließlich Version 5.1.4 sind die hier
erläuterten Schwachstellen CVE-2016-1927, CVE-2016-2038 bis CVE-2016-2043
sowie die Schwachstelle CVE-2015-8669, die zum Ausspähen von Informationen
ausgenutzt werden kann, ebenfalls enthalten. Über den TYPO3 Extension
Manager kann das Sicherheitsupdate auf Version 5.1.5, über welches die
aufgelisteten Schwachstellen adressiert werden, geladen werden.
Version 5 (09.02.2016):
Für die Distribution openSUSE 13.1 stehen ebenfalls Sicherheitsupdates zur
Verfügung, die 7 Schwachstellen adressieren. Die Schwachstellen
CVE-2016-2044 und CVE-2016-2045 werden nicht genannt.
Version 4 (08.02.2016):
Für die Distributionen openSUSE Leap 42.1 und openSUSE 13.2 stehen
Sicherheitsupdates zur Verfügung, die 7 Schwachstellen adressieren. Die
Schwachstellen CVE-2016-2044 und CVE-2016-2045 werden nicht genannt.
Version 3 (01.02.2016):
Das bereits referenzierte Sicherheitsupdate für Fedora EPEL 7 wurde
überarbeitet, da nicht näher spezifizierte Probleme mit dem Paket
phpMyAdmin-4.4.15.3-1.el7 existieren. Fedora stellt das Sicherheitsupdate
phpMyAdmin-4.4.15.4-1.el7 im Status ‘pending’ unter der ID
FEDORA-EPEL-2016-5aba523f53 zur Verfügung.
Version 2 (29.01.2016):
Für Fedora EPEL 5 und Fedora 22 stehen Sicherheitsupdates auf phpMyAdmin
4.0.10.13, bzw. phpMyAdmin 4.5.4 in Form der Pakete
phpMyAdmin4-4.0.10.13-1.el5 im Status ‘pending’, bzw.
phpMyAdmin-4.5.4-1.fc22 im Status ‘testing’ zur Verfügung.
Version 1 (28.01.2016):
Neues Advisory

Betroffene Software:

phpMyAdmin <= 4.0.10.12 phpMyAdmin <= 4.4.15.2 phpMyAdmin <= 4.5.3.1 TYPO3 Extension Betroffene Plattformen: TYPO3 Apple Mac OS GNU/Linux Microsoft Windows openSUSE 13.1 openSUSE 13.2 openSUSE Leap 42.1 Red Hat Fedora 22 Red Hat Fedora 23 Extra Packages for Red Hat Enterprise Linux 5 Extra Packages for Red Hat Enterprise Linux 6 Extra Packages for Red Hat Enterprise Linux 7 Mehrere Schwachstellen in phpMyAdmin in den Versionen bis 4.0.10.12, 4.4.15.2 und 4.5.3.1 ermöglichen einem entfernten, nicht authentifizierten Angreifer das Ausspähen von Informationen, das Umgehen von Sicherheitsvorkehrungen und die Durchführung von Cross-Site-Scripting (XSS)-Angriffen. Das phpMyAdmin-Projekt stellt die Versionen 4.0.10.13, 4.4.15.3 und 4.5.4 als Sicherheitsupdates zum Herunterladen zur Verfügung. Für Fedora EPEL 6 und 7 sowie Fedora 23 stehen Sicherheitsupdates auf phpMyAdmin 4.0.10.13, phpMyAdmin 4.4.15.3, bzw. phpMyAdmin 4.5.4 in Form der Pakete phpMyAdmin-4.0.10.13-1.el6, phpMyAdmin-4.4.15.3-1.el7, bzw. phpMyAdmin-4.5.4-1.fc23 im Status 'pending' bereit. Patch: Fedora Security Update FEDORA-2016-e55278763e (Fedora 23) https://bodhi.fedoraproject.org/updates/FEDORA-2016-e55278763e

Patch:

Fedora Security Update FEDORA-EPEL-2016-5aba523f53 (Fedora EPEL 7)

https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-5aba523f53

Patch:

Fedora Security Update FEDORA-EPEL-2016-6eee18cd6e (Fedora EPEL 6)

https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-6eee18cd6e

Patch:

phpMyAdmin Security Advisory PMASA-2016-1

http://www.phpmyadmin.net/security/PMASA-2016-1/

Patch:

phpMyAdmin Security Advisory PMASA-2016-2

http://www.phpmyadmin.net/security/PMASA-2016-2/

Patch:

phpMyAdmin Security Advisory PMASA-2016-3

http://www.phpmyadmin.net/security/PMASA-2016-3/

Patch:

phpMyAdmin Security Advisory PMASA-2016-4

http://www.phpmyadmin.net/security/PMASA-2016-4/

Patch:

phpMyAdmin Security Advisory PMASA-2016-5

http://www.phpmyadmin.net/security/PMASA-2016-5/

Patch:

phpMyAdmin Security Advisory PMASA-2016-6

http://www.phpmyadmin.net/security/PMASA-2016-6/

Patch:

phpMyAdmin Security Advisory PMASA-2016-7

http://www.phpmyadmin.net/security/PMASA-2016-7/

Patch:

phpMyAdmin Security Advisory PMASA-2016-8

http://www.phpmyadmin.net/security/PMASA-2016-8/

Patch:

phpMyAdmin Security Advisory PMASA-2016-9

http://www.phpmyadmin.net/security/PMASA-2016-9/

Patch:

Fedora Security Update FEDORA-2016-e1fe01e96e (Fedora 22)

https://bodhi.fedoraproject.org/updates/FEDORA-2016-e1fe01e96e

Patch:

Fedora Security Update FEDORA-EPEL-2016-2a457c3d5b (Fedora EPEL 5)

https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-2a457c3d5b

Patch:

openSUSE Security Update openSUSE-SU-2016:0357-1

http://lists.opensuse.org/opensuse-updates/2016-02/msg00028.html

Patch:

openSUSE Security Update openSUSE-SU-2016:0378-1

http://lists.opensuse.org/opensuse-updates/2016-02/msg00049.html

Patch:

TYPO3 Extension Security Advisory TYPO3-EXT-SA-2016-007

https://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2016-007/

CVE-2016-2045: Schwachstelle in phpMyAdmin ermöglicht
Cross-Site-Scripting-Angriff

Eine Schwachstellen in phpMyAdmin ermöglicht einen
Cross-Site-Scripting-Angriff über eine speziell präparierte SQL-Anfrage im
SQL-Editor. Ein entfernter, nicht authentisierter Angreifer kann
Cross-Site-Scripting-Angriffe durchführen.

CVE-2016-2044: Schwachstelle in phpMyAdmin ermöglicht das Ausspähen von
Informationen

Eine Schwachstelle im SQL Parser von phpMyAdmin basiert auf der Möglichkeit,
ein bestimmtes Skript auf eine nicht vorhergesehene Art aufzurufen, wodurch
eine PHP-Fehlermeldung angezeigt wird, die den Installationspfad von
phpMyAdmin beinhaltet. Ein entfernter, nicht authentisierter Angreifer kann
Informationen ausspähen.

CVE-2016-2043: Schwachstelle in phpMyAdmin ermöglicht
Cross-Site-Scripting-Angriff

Eine Schwachstelle in phpMyAdmin ermöglicht einen
Cross-Site-Scripting-Angriff über einen speziell präparierten Tabellennamen
in der Seite für die Datenbanknormalisierung. Ein entfernter, nicht
authentisierter Angreifer kann Cross-Site-Scripting-Angriffe durchführen.

CVE-2016-2042: Schwachstelle in phpMyAdmin ermöglicht das Ausspähen von
Informationen

Eine Schwachstelle in phpMyAdmin basiert auf der Möglichkeit, einige Skripte
auf eine nicht vorhergesehene Art aufzurufen, wodurch PHP-Fehlermeldungen
angezeigt werden, die den Installationspfad von phpMyAdmin beinhalten. Ein
entfernter, nicht authentisierter Angreifer kann Informationen ausspähen.

CVE-2016-2041: Schwachstelle in phpMyAdmin ermöglicht das Umgehen von
Sicherheitsvorkehrungen

Eine Schwachstelle in phpMyAdmin basiert auf dem unsicheren Vergleich von
Cross-Site-Request-Forgery (XSRF/CSRF)-Tokenparameter mit dem in der Sitzung
gespeicherten Wert, da dieser Vergleich anfällig ist für zeitlich basierte
Angriffe (Timing Attacks). Zusätzlich kann der Vergleich umgangen werden,
wenn das Token einem bestimmten Muster entspricht. Ein entfernter, nicht
authentisierter Angreifer kann Sicherheitsvorkehrungen umgehen.

CVE-2016-2040: Schwachstellen in phpMyAdmin ermöglichen
Cross-Site-Scripting-Angriffe

Mehrere Schwachstellen in phpMyAdmin ermöglichen
Cross-Site-Scripting-Angriffe (1) über einen speziell präparierten
Tabellennamen in der Seite für die Datenbanksuche, (2) über einen speziell
präparierten SET-Wert oder einer speziell präparierten Suchanfrage in der
Zoom-Suchseite und (3) über einen speziell präparierten Hostnamen-Header in
der Heimat-Seite. Ein entfernter, nicht authentisierter Angreifer kann
Cross-Site-Scripting durchführen.

CVE-2016-2039: Schwachstelle in phpMyAdmin ermöglicht das Umgehen von
Sicherheitsvorkehrungen

Eine Schwachstelle in phpMyAdmin basiert auf der unsicheren Erzeugung von
Cross-Site-Request-Forgery (XSRF/CSRF)-Token durch einen schwachen
Algorithmus, in dem Funktionen benutzt werden, die keine kryptographisch
sicheren Werte liefern. Ein entfernter, nicht authentisierter Angreifer kann
Sicherheitsvorkehrungen umgehen.

CVE-2016-2038: Schwachstelle in phpMyAdmin ermöglicht das Ausspähen von
Informationen

Eine Schwachstelle in phpMyAdmin basiert auf der Möglichkeit, bestimmte
Skripte auf eine nicht vorhergesehene Art aufzurufen, wodurch
PHP-Fehlermeldungen angezeigt werden, die den Installationspfad von
phpMyAdmin beinhalten. Ein entfernter, nicht authentisierter Angreifer kann
Informationen ausspähen.

CVE-2016-1927: Schwachstelle in phpMyAdmin ermöglicht Umgehen von
Sicherheitsvorkehrungen

Eine Schwachstelle in phpMyAdmin basiert auf der Benutzung der
JavaScript-Funktion ‘Math.random()’ für den Vorschlag eines Passwortes. Die
Funktion bietet keine kryptographisch sicheren Zufallszahlen, wodurch
unsichere Passwörter erzeugt werden können. Ein entfernter, nicht
authentisierter Angreifer kann Sicherheitsvorkehrungen umgehen und in der
Folge Informationen ausspähen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0161/

Fedora Security Update FEDORA-2016-e55278763e (Fedora 23):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-e55278763e

Fedora Security Update FEDORA-EPEL-2016-5aba523f53 (Fedora EPEL 7):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-5aba523f53

Fedora Security Update FEDORA-EPEL-2016-6eee18cd6e (Fedora EPEL 6):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-6eee18cd6e

phpMyAdmin Security Advisory PMASA-2016-1:
http://www.phpmyadmin.net/security/PMASA-2016-1/

phpMyAdmin Security Advisory PMASA-2016-2:
http://www.phpmyadmin.net/security/PMASA-2016-2/

phpMyAdmin Security Advisory PMASA-2016-3:
http://www.phpmyadmin.net/security/PMASA-2016-3/

phpMyAdmin Security Advisory PMASA-2016-4:
http://www.phpmyadmin.net/security/PMASA-2016-4/

phpMyAdmin Security Advisory PMASA-2016-5:
http://www.phpmyadmin.net/security/PMASA-2016-5/

phpMyAdmin Security Advisory PMASA-2016-6:
http://www.phpmyadmin.net/security/PMASA-2016-6/

phpMyAdmin Security Advisory PMASA-2016-7:
http://www.phpmyadmin.net/security/PMASA-2016-7/

phpMyAdmin Security Advisory PMASA-2016-8:
http://www.phpmyadmin.net/security/PMASA-2016-8/

phpMyAdmin Security Advisory PMASA-2016-9:
http://www.phpmyadmin.net/security/PMASA-2016-9/

Schwachstelle CVE-2015-6184 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-6184

Schwachstelle CVE-2016-1927 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1927

Schwachstelle CVE-2016-2038 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2038

Schwachstelle CVE-2016-2039 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2039

Schwachstelle CVE-2016-2040 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2040

Schwachstelle CVE-2016-2041 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2041

Schwachstelle CVE-2016-2042 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2042

Schwachstelle CVE-2016-2043 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2043

Schwachstelle CVE-2016-2044 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2044

Schwachstelle CVE-2016-2045 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-2045

Fedora Security Update FEDORA-2016-e1fe01e96e (Fedora 22):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-e1fe01e96e

Fedora Security Update FEDORA-EPEL-2016-2a457c3d5b (Fedora EPEL 5):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2016-2a457c3d5b

openSUSE Security Update openSUSE-SU-2016:0357-1:
http://lists.opensuse.org/opensuse-updates/2016-02/msg00028.html

openSUSE Security Update openSUSE-SU-2016:0378-1:
http://lists.opensuse.org/opensuse-updates/2016-02/msg00049.html

TYPO3 Extension Security Advisory TYPO3-EXT-SA-2016-007:
https://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2016-007/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.