abraxas/phpmyadmin-csrf-sqlphpMyAdmin 5.2.3 - Élevé - À distance - CSRF - suppression de jeton sur /sql
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · phpmyadmin-csrf-sql
Write-up : https://abraxaslabs.tech/research/phpmyadmin-csrf-sql
Classe : CSRF Portée : Distante
phpMyAdmin 5.2.3 (tag RELEASE_5_2_3, commit 962857e). Common.php construit la requête PSR-7 à partir des globales avant checkTokenRequestParam. En cas de non-concordance, Sanitize::removeRequestVars vide $_POST et $_GET mais pas cet instantané. $sql_query est ensuite copié depuis $request->getParsedBodyParam('sql_query'). Les POST AJAX s'interrompent en cas de non-concordance de jeton. Les POST non-AJAX continuent. SqlController privilégie $_POST['sql_query'] vidé et conserve sinon la globale.
Une victime disposant d'un cookie de session phpMyAdmin suffit. POSTez sur index.php?route=/sql avec sql_query et sans jeton valide, et sans ajax_request. Le SELECT s'exécute en tant que cet utilisateur MySQL. Le CookieSameSite=Strict par défaut en 5.2.3 bloque de nombreux navigateurs cross-site. Same-site, Lax, None ou l'authentification HTTP restent vulnérables. Dans tous les cas, il s'agit d'un contrôle CSRF défaillant.
| ID | pas encore de CVE |
| Classe | CSRF |
| Portée | Distante. Le CookieSameSite=Strict par défaut bloque de nombreux navigateurs cross-site. Same-site / Lax / None / authentification HTTP restent possibles. |
| CWE | CWE-352 |
| CVSS | Élevé : 8.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N |
| Produit | phpMyAdmin |
| Affecté | 5.2.3 tag RELEASE_5_2_3 (962857e) |
| Auth | Cookie de session phpMyAdmin de la victime (ou authentification HTTP). Aucun jeton CSRF valide. |
| Licence | GNU Affero GPL v3.0 |
| Lab | 127.0.0.1:19240 uniquement |
Quiconque peut amener le navigateur de la victime à envoyer un POST vers phpMyAdmin sans ajax_request peut exécuter du SQL en tant que cet utilisateur MySQL.
| Privilège | Méthode / chemin | Prouvé en lab ou déduit |
|---|---|---|
| Exécuter du SQL attaquant en tant que compte MySQL de la victime (intégrité + reconnaissance de cette base SQL) | POST index.php?route=/sql sql_query=... db=... sans token, sans ajax_request | Prouvé en lab. Le corps de la réponse contenait PMA-CSRF-SQL-WITNESS. Le journal général a montré le SELECT en tant que appuser |
| Interrompre le même gestionnaire en AJAX | Même POST avec ajax_request=1 | Prouvé en lab. Token mismatch. Ligne marqueur INSERT absente. Le journal général n'a pas exécuté cet INSERT |
Contourner les gestionnaires qui ne lisent que $_POST vidé | POST /database/structure/drop-table sans jeton | Prouvé en lab. keepme toujours présent |
Même faille sur l'export (SaveDir), DROP/TRUNCATE de partition, verrouillage de compte, /config/set, création pmadb | Tout gestionnaire qui lit le corps PSR-7 après le nettoyage | Déduit. Non testé |
Fermé sur ce lab : PMA non authentifié (connexion par cookie requise au préalable), routes AJAX (elles quittent en cas de non-concordance), drop-table sans jeton, shell OS. Le SameSite Strict par défaut signifie qu'un formulaire cross-site classique n'enverra souvent pas le cookie ; le reliquat reste une vérification CSRF échouée en same-site et sur les déploiements Lax/None.
Huit recherches parallèles dans le code source de RELEASE_5_2_3. Common.php crée $request = createFromGlobals() avant checkTokenRequestParam(). En cas de non-concordance, Sanitize::removeRequestVars() vide uniquement $_POST/$_GET. Le non-AJAX continue. SqlController utilise la globale $sql_query si $_POST est vide. Route GET|POST /sql.
Fausses pistes : traiter l'AJAX /sql comme le résidu (il interrompt sur Token mismatch) ; traiter le drop-table comme le résidu (ce gestionnaire ne lit que $_POST dépouillé) ; traiter le Strict SameSite par défaut comme « la CSRF est close » (le contrôle est toujours défaillant ; same-site / Lax / None subsistent).
python3 phpmyadmin-csrf-sql-Abraxas-Labs.py
ou
cd lab
./run.sh
Loopback uniquement : http://127.0.0.1:19240. Images phpmyadmin:5.2.3 et mysql:8.0. Projet Compose phpmyadmin-csrf-sql. Le PoC est un POST loopback same-site (Strict SameSite envoie tout de même le cookie). Témoin PMA-CSRF-SQL-WITNESS.
SUCCESS phpmyadmin-csrf-sql sql-ran=yes ajax-abort=yes drop-held=yes PMA-CSRF-SQL-WITNESS
En cas d'incohérence, remplacez la requête par un corps vide, ou refusez toutes les requêtes POST, pas seulement les AJAX. Ne copiez pas sql_query depuis une requête obsolète. Échouez en mode fermé comme pour la déconnexion.
962857e)libraries/classes/Common.php instantané de la requête avant la suppression du jetonSanitize::removeRequestVars efface uniquement $_POST/$_GETSqlController global $sql_queryGNU Affero GPL v3.0. Voir LICENSE. Laboratoire en boucle locale uniquement. Aucune garantie.