Взломан phpMyAdmin - все срочно обновляемся до 3.3.5

DLag
На сайте с 15.08.2007
Offline
201
#11
koketkade:
Этой уязвимости уже сто лет в обед. Подпишитесь на ленту http://www.phpmyadmin.net/home_page/security/index.xml

О чем и речь.

Такое ощущение что только из спячки вышли.

Руководитель датацентра UkrNames (http://ukrnames.com/)
sumar
На сайте с 22.11.2005
Offline
140
#12

Ну судя с анонсов :

Unaffected Versions

3.x releases are not affected.

так что у кого 3* версиия то и кипятится получается не нужно.

выделенные серверы - https://masterdedicated.com/ (https://masterdedicated.com/) доменные имена за приятную цену - только тут (https://masterdedicated.com/foru/announcements.php?id=2)
Z
На сайте с 23.12.2006
Offline
225
#13

Все умные такие. :) У каждого свои мнения. Каждый знает, какие версии уязвимы, а какие нет.

И всё это ДАЖЕ не видев кода эксплоита. :D

Телепатия какая-то, прямо!

Дыра новая.

Уязвимы 100%: все младше 2.11.9, 2.11.9.3, 2.11.9.4, 3.0.0, 3.0.1.1.

Регистрация на 1 год com/net/org/biz/us по 7.99$, xyz/pw по 1.99$, asia/website/in/*.in/net.in по 2.99$ (http://all.sellout.co.in/) ru 1.39$, рф 1.39$, su 4.99$ - NauNet (http://sellout.su/)
Electronn
На сайте с 01.02.2010
Offline
91
#14
ZAhost:
Уязвимы 100%: все младше 2.11.9, 2.11.9.3, 2.11.9.4, 3.0.0, 3.0.1.1.

Эмм, тут нет никакого противоречия ? :):) стоило бы тогда просто написать - младше 3.0.1.1

для дебиан5 и центос (с подключенным epel) достаточно просто из репо обновиться.

Z
На сайте с 23.12.2006
Offline
225
#15
koketkade:
Этой уязвимости уже сто лет в обед. Подпишитесь на ленту http://www.phpmyadmin.net/home_page/security/index.xml

Ага. 100 лет.

2010-08-06T10:22:03+00:00

🚬

ZAhost добавил 06.08.2010 в 14:29

Electronn:
Эмм, тут нет никакого противоречия ? :):) стоило бы тогда просто написать - младше 3.0.1.1

Нету. Последние из ветки старше 2.11.10 и старше 3.1.X не затронуты уже.

PN
На сайте с 28.07.2008
Offline
51
PDN
#16
Electronn:
Эмм, тут нет никакого противоречия ? :):) стоило бы тогда просто написать - младше 3.0.1.1

для дебиан5 и центос (с подключенным epel) достаточно просто из репо обновиться.

Так на центос с еpel ставится 2.11.10 а она такой уязвимости не имеет🤣idea:

Z
На сайте с 23.12.2006
Offline
225
#17
PDN:
Так на центос с еpel ставится 2.11.10 а она такой уязвимости не имеет🤣idea:

Согласен. (на 99% уверен, что не имеет)

Romka_Kharkov
На сайте с 08.04.2009
Offline
485
#18

народ , noexec / nosuid на /tmp ставить надо, тогда и уязвимости такого рода волновать не будут :))) Хотя я у меня 3.4.x стоит уже давно ;)

Есть около 15.000 ipv4 !!! (http://onyx.net.ua/price.php#ipv4) Качественный хостинг с 2005 года - лучшее клиентам! (http://onyx.net.ua/)
Z
На сайте с 23.12.2006
Offline
225
#19
koketkade:
Как все запущено. На дату последнего PMASA трудно посмотреть?

УУУ... Однако. На изменения в этих последних PMASA сложно посмотреть за последние дни? Дыра та же, да только шире - итого: требования те же – обновиться до последних версий линеек.

До этого ветка 3.0 не была затронута вообще, а теперь затронута.

Кстати, админ 2Servers отписал, что 3.2.2.1 тоже затронута.

Ну, может через пару дней и обновят даты апгрейдов - им-то куда торопиться... и главное - ЗАЧЕМ?! - ведь в последних версиях эта уязвимость отсутсвует.

Просто после 2.11.9.X уязвимость от начала года прикрыли коряво, а уже с 2.11.10.X и 3.3.X код полностью поменялся (чуяли видать что недосмотрели).

И вот теперь эксплоит новый в свободном доступе - понеслась. :D

Это же массовый апгрейд софта – вирусномаркетинговый апгрейд :D

Z
На сайте с 23.12.2006
Offline
225
#20

http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2009-3696

Cross-site scripting (XSS) vulnerability in phpMyAdmin 2.11.x before 2.11.9.6 and 3.x before 3.2.2.1 allows remote attackers to inject arbitrary web script or HTML via a crafted name for a MySQL table.

Вот этот эксплоит от 12/19/2009 (с небольшими модификациями) попал позавчера в паблик, что вызвало поголовную ломку тысяч серверов по всему миру на автомате.

До этого эксплоит не применялся для автовзлома и создания ботнетов.

Нового в нём то, что до нахождения бага в __destruct(), эксплоит затруднительно было использовать для автоломки под ботнеты,.. зато текущая версия справилась на ура, судя по ужасу некоторых крупных провайдеров.

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий