Trusted Design

CVE-2009-1151 の詳細

CVEの情報

説明:
Static code injection vulnerability in setup.php in phpMyAdmin 2.11.x before 2.11.9.5 and 3.x before 3.1.3.1 allows remote attackers to inject arbitrary PHP code into a configuration file via the save action.

CVE更新日: 2009-03-26 14:30:00.267000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-03-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.965650000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2009-1151について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2009-1151は、phpMyAdminのsetup.phpスクリプトにおける静的なコードインジェクションの脆弱性です。この脆弱性により、リモートの攻撃者が細工されたPOSTリクエストを送信することで、設定ファイルに任意のPHPコードを注入できる可能性があります。

1.1 影響

この脆弱性が悪用されると、攻撃者はWebサービスを実行している権限でサーバー上で任意のコードを実行できるようになります。 想定される被害としては、以下が挙げられます。

  • 機密性への影響: 認証情報やデータベース内の機密データなど、サーバー上の機密情報への不正アクセスや取得。影響度は「高」と評価されています。
  • 完全性への影響: 設定ファイルやその他の重要なファイルへの不正な変更、Webサイトの改ざん、悪意のあるプログラムのインストール。影響度は「高」と評価されています。
  • 可用性への影響: 重要なコンポーネントの操作によるサービスの中断。影響度は「高」と評価されています。

全体として、この脆弱性は完全なサーバー侵害につながる可能性があります。

1.2 深刻度

CVE-2009-1151は、CVSS v3スコアで9.8（緊急）、CVSS v2スコアで7.5（危険）と評価される重大な脆弱性です。

  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • CWEタイプ: CWE-94: Improper Control of Generation of Code ('Code Injection')

この脆弱性は、すでに複数の概念実証（PoC）エクスプロイトが確認されており、積極的に悪用される可能性があります。

2. 対象となる環境

2.1 影響を受けるOSバージョン

主にphpMyAdminの以下のバージョンが影響を受けます。

  • phpMyAdmin 2.11.x（2.11.9.5より前のバージョン）
  • phpMyAdmin 3.x（3.1.3.1より前のバージョン）

また、上記の脆弱なphpMyAdminバージョンを同梱しているDebian Linuxバージョン4.0および5.0も影響を受ける可能性があります。 Red Hatは、この脆弱性が現在サポートされているRed Hat製品には影響しないと判断しています。

2.2 影響を受ける設定

この脆弱性は、以下の条件が満たされた場合に悪用される可能性があります。

  • phpMyAdminのconfigディレクトリが存在し、Webサーバープロセスによって書き込み可能であること。
  • config/config.inc.phpファイルが存在すること（このファイルはデフォルトでは存在しません）。
  • setup.phpスクリプトを使用して設定が行われた後、configディレクトリが削除されていない場合。

3. 影響を受けた時の兆候

具体的な「影響を受けた時の兆候」は検索結果に明示されていませんが、脆弱性が悪用された場合、以下のような結果が考えられます。

  • Webサーバーの権限で予期しないコマンドが実行される。
  • phpMyAdminの設定ファイル（config/config.inc.php）に身に覚えのないPHPコードが追加されている。
  • Webサイトのコンテンツが改ざんされる、または不審なファイルがサーバー上に作成される。
  • サーバーのパフォーマンス低下やサービス停止。

4. 推奨対策

4.1 本対策

影響を受けるphpMyAdminのバージョンを、脆弱性が修正された最新バージョンにアップデートすることが最も推奨される対策です。

  • phpMyAdmin 2.11.9.5以降
  • phpMyAdmin 3.1.3.1以降

4.2 暫定回避策（緩和策）

  • configディレクトリの削除: phpMyAdminのセットアップ時に使用したconfigディレクトリおよびその中のconfig/config.inc.phpファイルが存在する場合、これらを削除します。このファイルはデフォルトでは存在しません。
  • phpMyAdminの削除: phpMyAdminを使用していない場合は、削除を検討してください。
  • アクセス制限: ネットワークレベルでsetup.phpへのアクセスを制限することも検討できます。

参照サイト

NVDサイト

NVDでCVEの詳細を見る

戻る