Debian DSA-3627-1：phpmyadmin - 安全更新

high Nessus 插件 ID 92527

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

已修复 phpMyAdmin（基于 Web 的 MySQL 管理接口）中的多种漏洞。

- CVE-2016-1927 suggestPassword 函数依赖不安全的随机数发生器，这使远程攻击者更容易通过暴力破解方法猜出生成的密码。

- CVE-2016-2039 CSRF 标记值是由不安全的随机数发生器生成的，其允许远程攻击者通过预测值绕过预期访问限制。

- CVE-2016-2040 多种跨站脚本 (XSS) 漏洞允许经认证的远程用户注入任意 Web 脚本或 HTML。

- CVE-2016-2041 phpMyAdmin 未使用常数时间算法比较 CSRF 标记，这使远程攻击者更容易通过测量时间差绕过预期访问限制。

- CVE-2016-2560 多个跨站脚本 (XSS) 漏洞允许远程攻击者注入任意 Web 脚本或 HTML。

- CVE-2016-2561 多个跨站脚本 (XSS) 漏洞允许远程攻击者注入任意 Web 脚本或 HTML。

- CVE-2016-5099 多个跨站脚本 (XSS) 漏洞允许远程攻击者注入任意 Web 脚本或 HTML。

- CVE-2016-5701 对于在纯 HTTP 上运行的安装，phpMyAdmin 允许远程攻击者通过构建的 URI 对 HTTP 会话发动 BBCode 注入攻击。

- CVE-2016-5705 多个跨站脚本 (XSS) 漏洞允许远程攻击者注入任意 Web 脚本或 HTML。

- CVE-2016-5706 phpMyAdmin 允许远程攻击者通过脚本参数中的大型数组造成拒绝服务（资源消耗）。

- CVE-2016-5731 一个跨站脚本 (XSS) 漏洞允许远程攻击者注入任意 Web 脚本或 HTML。

- CVE-2016-5733 多个跨站脚本 (XSS) 漏洞允许远程攻击者注入任意 Web 脚本或 HTML。

- CVE-2016-5739 有一个特别构建的转换可泄漏信息，远程攻击者可利用这些信息发动跨站请求伪造攻击。