Avis du CERT-FR
Objet : Vulnérabilités dans BestPractical RT
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
- Injection de code indirecte à distance
- Injection de requêtes illégitimes par rebond (CSRF)
Systèmes affectés
BestPractical RT (Request Tracker) 2.0.x, 3.6.x, 3.8.x, 4.0.0rcx.
Résumé
Plusieurs vulnérabilités affectent BestPractical RT permettant des injections de code et la lecture sans droit de données sensibles.
Description
Plusieurs vulnérabilités affectent BestPractical RT :
- quand l'option CustomFieldValuesSources est activée, un utilisateur malveillant peut réaliser des injections de requêtes illégitime par rebond ;
- des injections de requêtes SQL sont possibles ;
- l'interface de recherche permet d'obtenir des informations sensibles, comme des mots de passe ;
- un utilisateur malveillant peut lire n'importe quel fichier du serveur par le biais d'une requête HTTP spécialement formée ;
- plusieurs vulnérabilités (XSS) permettent à un utilisateur malveillant de réaliser de l'injection de code indirecte ;
- il est possible de transmettre les informations de connexion des utilisateurs sur un serveur externe, de manière illégitime.
Solution
Les versions 3.6.11, 3.8.10 et 4.0.0rc8 de BestPractical RT corrigent ces problèmes.
Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletins de sécurité BestPractical du 14 avril 2011
http://lists.bestpractical.com/pipermail/rt-announce/2011-April/000189.html -
Référence CVE CVE-2011-1685
https://www.cve.org/CVERecord?id=CVE-2011-1685 -
Référence CVE CVE-2011-1686
https://www.cve.org/CVERecord?id=CVE-2011-1686 -
Référence CVE CVE-2011-1687
https://www.cve.org/CVERecord?id=CVE-2011-1687 -
Référence CVE CVE-2011-1688
https://www.cve.org/CVERecord?id=CVE-2011-1688 -
Référence CVE CVE-2011-1689
https://www.cve.org/CVERecord?id=CVE-2011-1689 -
Référence CVE CVE-2011-1690
https://www.cve.org/CVERecord?id=CVE-2011-1690
Gestion détaillée du document
| Date | Description |
|---|---|
| 27 avril 2011 | version initiale. |