phpMyAdmin 5.2.3 — высокий — удалённый — SQLi — идентификатор плагина аутентификации без кавычек
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · phpmyadmin-auth-plugin-unquoted
Разбор: https://abraxaslabs.tech/research/phpmyadmin-auth-plugin-unquoted
Класс: SQLi Доступ: удалённый
phpMyAdmin 5.2.3 (RELEASE_5_2_3 / 962857e) - phpMyAdmin
Смена пароля включена по умолчанию. UserPassword.php копирует POST-параметр authentication_plugin в ALTER USER ... IDENTIFIED WITH без allowlist и без экранирования. Имя пользователя, хост и пароль в том же запросе проходят через escapeString. В MySQL 8 конструкция WITH добавляется, когда отправленный плагин отличается от текущего.
Аутентифицированный пользователь phpMyAdmin внедряет SQL в свой собственный ALTER USER через форму смены пароля. Дополнительный SQL в поле плагина — это SQL, а не имя плагина.
| ID | CVE пока нет |
| Класс | SQLi |
| Доступ | Удалённый (аутентификация по cookie; смена пароля включена) |
| CWE | CWE-89 |
| CVSS | Высокий: 8.1 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
| Продукт | phpMyAdmin |
| Затронуто | 5.2.3 тег RELEASE_5_2_3 (962857e4f63d42e38f11ff4d63f5e722018add76) |
| Аутентификация | аутентификация по cookie. $cfg['ShowChgPassword'] по умолчанию true. Тип аутентификации не config |
| Лицензия | GNU Affero GPL v3.0 |
| Лаборатория | только 127.0.0.1 |
Аутентифицированный пользователь phpMyAdmin может внедрить SQL в свой собственный ALTER USER через форму смены пароля.
| Привилегия | Метод / точка внедрения | Разведка / целостность / доступность | Подтверждено в лаборатории или выведено |
|---|---|---|---|
Отправить дополнительный SQL в IDENTIFIED WITH | POST index.php?route=/user-password с authentication_plugin | Целостность запроса, который строит phpMyAdmin | Подтверждено в лаборатории. Сырой POST sha256_password /*PMA-AUTH-PLUGIN-UNQUOTED-WITNESS*/ появляется без экранирования в окне SQL |
| Заставить MySQL разобрать этот дополнительный SQL как SQL | Тот же запрос доходит до mysqld | Целостность соединения пользователя | Подтверждено в лаборатории. General log сохранил плагин sha256_password и отбросил комментарий. 1227, поскольку у этого пользователя нет CREATE USER |
| Дополнительные конструкции или дополнительные учётные записи, если выход из контекста разберётся | Та же точка внедрения; stacked-запросы зависят от драйвера | Целостность других учётных записей | Выведено. В этой лаборатории не выполняется второй запрос и не создаётся другая учётная запись |
| Та же конкатенация при добавлении/редактировании пользователя | Privileges.php IDENTIFIED WITH / MariaDB VIA | Целостность запросов, строящихся от имени grantor | Выведено по аналогии. В лаборатории POST выполняется только для смены пароля |
Закрыто на этом пути: неаутентифицированное использование (требуется вход по cookie), config-auth (смена пароля скрыта), RCE, успешная смена плагина без GRANT на MySQL 8 (1227 без CREATE USER). Имя пользователя, хост и пароль остаются экранированными. Собственный пароль не требует GRANT; остаётся неэкранированное поле плагина, а не свободная подмена плагина.
Тот же пин: WebAuthn CustomServer leftover.
Я зафиксировал phpmyadmin/phpmyadmin RELEASE_5_2_3. PMASA-2025-1/2/3 уже присутствуют в 5.2.2. Смена пароля по-прежнему строит:
return 'ALTER USER \'' . $dbi->escapeString($username)
. '\'@\'' . $dbi->escapeString($hostname)
. '\' IDENTIFIED WITH ' . $authPlugin . ' BY '
$authPlugin — это $_POST['authentication_plugin']. MySQL 5.7.37+ и 8.0 опускают WITH, если плагин не изменился. Отправьте POST с другим именем — и конструкция вернётся.
Уже зафиксированные ошибки: трактовка MySQL 1227 как сбоя остаточного кода (на самом деле это доказательство того, что дополнительный SQL был разобран); утверждение о смене плагина без GRANT на MySQL 8; трактовка config-auth как входящего в область; reverse shell. Театр.
python3 phpmyadmin-auth-plugin-unquoted-Abraxas-Labs.py
# or: cd lab && ./run.sh
Только на http://127.0.0.1:19260. Образы phpmyadmin:5.2.3 и mysql:8.0. Compose-проект phpmyadmin-auth-plugin-unquoted. Стек удаляется после запуска.
Вход по cookie как appuser. POST /user-password с authentication_plugin=sha256_password /*PMA-AUTH-PLUGIN-UNQUOTED-WITNESS*/. Окно SQL-запросов PMA: ALTER USER 'appuser'@'%' IDENTIFIED WITH sha256_password /*PMA-AUTH-PLUGIN-UNQUOTED-WITNESS*/ BY '***'. Общий журнал MySQL разбирает комментарий и сохраняет IDENTIFIED WITH 'sha256_password'. Имя пользователя заключено в кавычки.
SUCCESS phpmyadmin-auth-plugin-unquoted how=live unquoted=yes escaped-user=yes plugin=sha256_password PMA-AUTH-PLUGIN-UNQUOTED-WITNESS
Разрешать только имена плагинов из SHOW PLUGINS. Никогда не подставлять POST в IDENTIFIED WITH, VIA или plugin=.
962857e4f63d42e38f11ff4d63f5e722018add76)libraries/classes/UserPassword.phplibraries/classes/Server/Privileges.phpGNU Affero GPL v3.0. См. LICENSE. Только для лабораторной среды с loopback. Без гарантий.