Dangerosité des logiciels d’administration
Le CERT-Renater nous fait part régulièrement de faille de sécurité dans le logiciel phpMyAdmin. Ce logiciel offre une interface web pour administrer des bases de données MySQL.
Tout autre logiciel offrant des accès étendus à un serveur, pour l’administrer, doit faire l’objet d’un suivi ou d’un contrôle précis, pour éviter des intrusions qui pourraient avoir des conséquences importantes.
Se protéger
Notre recommandation est de restreindre l’accès à ce type d’outil "sensibles" via des directives du serveur web, afin de réduire la surface d’attaque. Vous pouvez limiter l’accès à votre VLAN, éventuellement ajouter aussi le VLAN des VPN si vous voulez y travailler à distance.
Exemple de configuration pour Apache :
à adapter en fonction de l’emplacement de vos fichiers phpMyAdmin et de vos adresses IP
à placer préférentiellement dans la configuration d’Apache (fichier httpd.conf, ou mieux, sous fichier conf.d/phpmyadmin.conf ou quelque chose d’identique)
Order deny,allow Deny from all Allow from 164.81.3
Référence : Apache Module mod_access, pour Apache version 2