小丁的屋舍
宝塔面板Linux7.4.2以及Windows6.8版本PhpmyAdmin未加签权漏洞
小丁
2020-08-24
技术分享
查看标签
1682次浏览

2020年8月23日，宝塔面板被爆出严重的安全事件，这次并不是后门问题，而是数据库未授权访问漏洞，公网无需鉴权直接 root 权限进入 phpmyadmin，IP或域名地址:888/pma 可以直接进入 phpMyAdmin，导致很多网站数据库被篡改或者直接清理了数据库，可谓损失惨重！

0x001漏洞说明【法律无情，请不要以身试法】

Twitter议论
宝塔面板Linux7.4.2以及Windows6.8版本PhpmyAdmin未加签权，通过IP:888/pma可以直接登录数据库，现已出现漏洞批量利用工具，可通过Zmap扫描全球888端口进行大规模提权
gov.cn网站被删库
图二：gov.cn网站被删库

0x002解决方法

宝塔官方已发布紧急更新，所有使用此版本的用户升级到最新版即可解决