Kali ini dilaporkan kerentanan kritis phpMyAdmin, salah satu aplikasi terpopuler untuk mengelola database MySQL, memungkinkan penyerang melakukan operasi berbahaya terhadap database hanya dengan menipu administrator agar mengklik sebuah tautan.
Ditemukan oleh peneliti keamanan India, Ashutosh Barot, kerentanannya adalah serangan cross-site request forgery (CSRF) yang mempengaruhi versi phpMyAdmin 4.7.x (sebelum 4.7.7).
Menurut sebuah advisory yang dikeluarkan oleh phpMyAdmin, “dengan menipu pengguna untuk mengklik URL yang dibuat, memungkinkan untuk melakukan operasi berbahaya terhadap database seperti menghapus, dropping/truncating tabel, dll.”
Selain itu, banyak penyedia hosting menggunakan phpMyAdmin untuk menawarkan kepada pelanggan mereka cara mudah untuk mengatur database mereka.
Barot juga telah merilis sebuah video, seperti yang ditunjukkan di atas, menunjukkan bagaimana penyerang dapat membuat admin database tanpa sadar menghapus (DROP) keseluruhan tabel dari database hanya dengan menipu mereka agar mengklik link yang dibuat secara khusus.
Namun, melakukan serangan ini tidak sesederhana kedengarannya. Untuk menyiapkan URL serangan CSRF, penyerang harus mengetahui nama database dan tabel yang ditargetkan.
“Jika pengguna mengeksekusi query pada database dengan mengklik insert, DROP, dan lain-lain, URL akan berisi nama database dan nama tabel,” kata Barot. “Kerentanan ini dapat mengakibatkan pengungkapan informasi sensitif karena URL disimpan di berbagai tempat seperti riwayat browser, log SIEM, log Firewall, log ISP, dan lain-lain.“
Barot melaporkan kerentanan kepada pengembang phpMyAdmin, yang mengkonfirmasi temuannya dan merilis phpMyAdmin 4.7.7 untuk mengatasi masalah ini. Jadi administrator sangat dianjurkan untuk mengupdate sesegera mungkin.
