Avis du CERT-FR
Objet : Vulnérabilité dans phpSysInfo
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Exécution de code arbitraire à distance
- Injection de code indirecte à distance (XSS)
Systèmes affectés
- phpSysInfo 1.x ;
- phpSysInfo 2.x.
Résumé
Une vulnérabilité dans phpSysInfo permet à un utilisateur mal intentionné de porter atteinte à l'intégrité des donnéees présentes sur le serveur vulnérable pour ensuite exécuter du code arbitraire à distance sur les postes clients.
Description
phpSysInfo est un programme en langage php qui retourne graphiquement des informations sur système.
Une vulnérabilité dans l'émulation register_globals permet à un utilisateur mal intentionné de porter atteinte à l'intégrité des donnéees présentes sur le serveur afin de s'en servir pour exécuter du code arbitraire à distance sur les postes clients.
Solution
Appliquer la mise à jour de sécurité phpSysInfo en passant à la version 2.4.1 disponible à l'adresse suivante :
http://sourceforge.net/project/showfiles.php?group_id=15
Documentation
-
Mise à jour de sécurité pour phpSysInfo en version 2.4.1
http://sourceforge.net/project/showfiles.php?group_id=15 -
Bulletin de sécurité Hardened-php #22/2005 du 13 novembre 2005 :
http://www.hardened-php.net/advisory_222005.81.html
Gestion détaillée du document
| Date | Description |
|---|---|
| 23 novembre 2005 | version initiale. |