Avis du CERT-FR
Objet : Vulnérabilité dans Xoops
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
Systèmes affectés
La version 2.0.13.2 de Xoops, ainsi que celles antérieures.
Résumé
Une vulnérabilité a été identifiée dans Xoops. Des utilisateurs malveillants distants peuvent l'utiliser pour accéder à des informations sur le système où Xoops fonctionne, ou injecter dans certaines conditions du code PHP.
Description
Xoops est un système dynamique de gestion de contenu écrit en PHP, et pouvant servir au développement de sites Internet. Une vulnérabilité concernant la version 2.0.13.2 et celles antérieures peut permettre à un utilisateur malveillant de contourner la politique de sécurité. Plus précisément, Ces versions ne vérifient pas correctement les valeurs attribuées au paramètre xoopsConfig. Il est alors possible :
- de récupérer des fichiers locaux à la machine où Xoops fonctionne en envoyant une requête particulière ;
- d'injecter du code PHP dans certains fichiers journaux d'Apache ou dans des images avatars (images associées aux noms d'utilisateurs).
Ces deux actions sont possibles si le serveur Xoops est configuré avec l'option register_globals.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité du projet Xoops du 23 mai 2006 :
http://www.frxoops.org/modules/news/article.php?storyid=1007 -
Site du projet Xoops :
http://www.frxoops.org
Gestion détaillée du document
| Date | Description |
|---|---|
| 23 mai 2006 | version initiale. |