Avis du CERT-FR
Objet : Vulnérabilité dans WebCalendar
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
Systèmes affectés
WebCalendar versions 1.0.3 et antérieures.
Description
Une vulnérabilité dans le traitement du paramètre includedir permet d'importer sur le serveur un fichier de configuration depuis un site externe. L'exploitation de cette vulnérabilité nécessite le positionnement de la variable register_globals à On dans le fichier php.ini.
Contournement provisoire
Positionner la variable register_globals à Off dans le fichier php.ini.
Solution
Installer la version 1.0.4.
Documentation
-
Bulletin de sécurité Debian DSA 1096 du 13 juin 2006 :
http://www.debian.org/security/2006/dsa-1096 -
Révision 1.539.2.60 de WebCalendar :
http://webcalendar.cvs.sourceforge.net/webcalendar/webcalendar/ChangeLog?revision=1.539.2.60&view=markup -
Version 1.0.4 de WebCalendar :
http://www.k5n.us/webcalendar.php?topic=Download -
Référence CVE CVE-2006-2762
https://www.cve.org/CVERecord?id=CVE-2006-2762
Gestion détaillée du document
| Date | Description |
|---|---|
| 28 juin 2006 | version initiale. |