Kompromittierter Sourceforge-Mirror

Es handelt sich um das Archiv "phpMyAdmin-3.5.2.2-all-languages.zip", das vermutlich rund 400 Benutzer seit dem 22. September heruntergeladen haben. Der betroffene Server steht in Korea und hat den Hostnamen "cdnetworks-kr-1", Sourceforge hat ihn aus dem Mirror-Netzwerk entfernt.

Die kompromittierte Version der Software enthält in der Datei "server_sync.php" zusätzlichen PHP-Code, der HTTP-Post-Daten evaluiert und eine Installation damit von außen angreifbar macht. Zusätzlicher Javascript-Code dient möglicherweise dem Angreifer zum Erkennen verwundbarer Installationen, wie der Entwickler Michal Čihař in einem Blogeintrag schreibt.

Das Security Team des PhpMyAdmin-Projekts stuft die Sicherheitslücke als kritisch ein. Es empfiehlt allen Anwendern, ihre Installationen zu überprüfen und bei Zweifeln neu aus einer vertrauenswürdigen Quelle zu installieren.

Die Lücke wurde ursprünglich von der Security-Abteilung des chinesischen Internetkonzerns Tencent entdeckt und erhielt die CVE-ID 2012-5159.