KnowSafe 安全预警：phpMyAdmin setup/lib/ConfigGenerator.class.php代码注入漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2011-2506 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

phpMyAdmin是phpMyAdmin团队开发的一套免费的、基于Web的MySQL数据库管理工具。该工具能够创建和删除数据库，创建、删除、修改数据库表，执行SQL脚本命令等。

phpMyAdmin 3.3.10.2之前的3.x版本和3.4.3.1之前的3.4.x版本的setup/lib/ConfigGenerator.class.php不能正确限制评论关闭分隔符的存在。远程攻击者可通过修改SESSION超全局数组执行静态代码注入攻击。

应用：phpmyadmin phpmyadmin（版本 3.0.0）

应用：phpmyadmin phpmyadmin（版本 3.0.1）

应用：phpmyadmin phpmyadmin（版本 3.0.1.1）

应用：phpmyadmin phpmyadmin（版本 3.1.0）

应用：phpmyadmin phpmyadmin（版本 3.1.1）

应用：phpmyadmin phpmyadmin（版本 3.1.2）

应用：phpmyadmin phpmyadmin（版本 3.1.3）

应用：phpmyadmin phpmyadmin（版本 3.1.3.1）

……另有 31 项受影响环境，详见官方公告

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：

http://typo3.org/teams/security/security-bulletins/typo3-sa-2011-008/

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。