phpMyAdmin のリモートコード実行の脆弱性（CVE-2009-1151）

何が起きた

データベースを Web 画面で管理するツール phpMyAdmin の設定用スクリプト（setup.php）に、細工した POST リクエストで、作られる設定ファイルに任意の PHP コード（攻撃者が好きに選べるプログラム）を入れられてしまう弱点がありました。ネットワーク経由で、ログインなしの攻撃者が悪用できるおそれがあります。CISA の KEV に悪用が確認された脆弱性として載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

phpMyAdmin の 2.11.x では 2.11.9.5 より前、3.x では 3.1.3.1 より前のバージョンが影響を受けます。phpMyAdmin の開発者によると、実際に悪用するには、Web サーバーが書き込める設定用のフォルダを管理者が作っている必要があります。

何をすればいい

phpMyAdmin を 2.11.9.5 以降、または 3.1.3.1 以降に更新しているか確認してください。開発者は、更新のほかに、公開している修正（パッチ）を当てる方法も示しています。詳しくは公式の案内を確認してください。

やることチェックリスト

• 2.11.x は 2.11.9.5 以降に更新する
• 3.x は 3.1.3.1 以降に更新する
• 更新できなければ開発者のパッチを当てる

用語メモ

PHP 用語集で見る

Web サイトを動かすのによく使われるプログラミング言語です。

POST リクエスト 用語集で見る

Web ブラウザなどがサーバーへデータを送るときの送り方の一つです。

パッチ 用語集で見る

ソフトの不具合を直すための修正プログラムのことです。