MySQL veritabanını yönetmek için en popüler uygulamalardan biri olan phpMyAdmin’de kritik bir güvenlik açığı bildirilmiştir; bu, uzak saldırganların yalnızca yöneticileri bir bağlantıyı tıklatmaya zorlayarak tehlikeli veritabanı işlemlerini gerçekleştirmelerine olanak verebilir.
Bir Hint güvenlik araştırmacısı olan Ashutosh Barot tarafından keşfedilen bu güvenlik açığı, siteler arası bir talep sahteciliği (CSRF) saldırısıdır ve phpMyAdmin 4.7.x sürümlerini (4.7.7’den önce ) etkiler .
XSRF olarak da bilinen siteler arası talep sahteciliği zafiyeti, saldırganın kimliği doğrulanmış kullanıcıyı istenmeyen bir eylemi gerçekleştirmesini istediği bir saldırıdır.
PhpMyAdmin tarafından yayınlanan bir danışma belgesine göre , “bir kullanıcı, bir URL’yi tıklatmaya yönlendirerek, kayıtları silme, tabloları bırakma / kesme, vb. Gibi zararlı veritabanı işlemleri gerçekleştirmek mümkündür.”
PhpMyAdmin ücretsiz ve açık kaynak yönetim aracıdır. MySQL ve MariaDB için ve WordPress, Joomla ve diğer birçok içerik yönetim platformları ile oluşturulan web siteleri için veritabanını yönetmek için yaygın olarak kullanılmaktadır. Üstelik, birçok hosting sağlayıcı, müşterilerine veritabanlarını düzenlemek için uygun bir yol sunmak için phpMyAdmin’i kullanıyor. Barot, yukarıda da görüldüğü gibi, bir uzak saldırganın veritabanı yöneticilerinin bilmeden bir tabloyu özel hazırlanmış bir bağlantıyı tıklatmakla kandırarak veritabanından bilmeden ( DROP ) silebildiğini gösteren bir video yayınladı .
“PhpMyAdmin’in bir özelliği bir GET isteği kullanıyordu ve DROP TABLE tablo_adı gibi Veritabanı işlemleri için POST isteğinden sonra GET istekleri CSRF saldırılarına karşı korunmalıdır. Bu durumda, URL yoluyla gönderilen POST istekleri kullanıldı (yer imi amacıyla) olabilir); bir saldırganın bir veritabanı yöneticisini bir düğmeye tıklatması ve saldırganın seçimine ilişkin bir drop table veritabanı sorgusu gerçekleştirmesi mümkün olmuştur.”
Barot bir blog yayında açıklıyor . Ancak, bu saldırının gerçekleştirilmesi ses geldiği kadar basit değildir. Bir CSRF saldırı URL’si hazırlamak için, saldırgan hedeflenen veritabanı ve tablo adının farkında olmalıdır. “Bir kullanıcı eklemek, DAMLA vb düğmeleri tıklayarak veritabanı üzerinde bir sorgu yürütür, URL veritabanı adı ve tablo adını içerecek ” Barot diyor.” Bu güvenlik açığı, URL’nin tarayıcı geçmişi, SIEM günlükleri, Güvenlik Duvarı Günlükleri, ISS Kayıtları, vb . Gibi çeşitli yerlerde depolanması nedeniyle hassas bilgilerin açığa çıkmasına neden olabilir .”
Barot, bu sorunu gidermek için phpMyAdmin 4.7.7 sürümünü bulup onaylayan phpMyAdmin geliştiricilerine yönelik güvenlik açığını bildirdi. Bu yüzden yöneticilerin kurulumlarını en kısa sürede güncellemeleri şiddetle tavsiye edilir.