S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 02 mars 2005
N° CERTA-2005-AVI-096
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilités dans phpBB

Gestion du document

Référence CERTA-2005-AVI-096
Titre Vulnérabilités dans phpBB
Date de la première version02 mars 2005
Date de la dernière version11 juillet 2005
Source(s) Message posté sur le site de phpBB le 27 février 2005
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Atteinte à la confidentialité des données
  • Obtention des droits de l'administrateur du forum

Systèmes affectés

phpBB versions 2.0.12 et antérieures.

Résumé

Deux vulnérabilités ont été découvertes dans l'outil phpBB.

Description

L'outil phpBB est utilisé pour la mise en place de forums sur l'Internet. La première vulnérabilité, présente dans le fichier sessions.php, permet d'obtenir les droits de l'administrateur du forum. La seconde vulnérabilité, présente dans le fichier viewtopic.php, permet de visualiser l'arborescence du répertoire web.

Solution

La version 2.0.13 corrige ces vulnérabilités.

Documentation

Gestion détaillée du document

    le 02 mars 2005
    version initiale.
    le 11 juillet 2005
    ajout des bulletins de sécurité iDEFENSE id=204 et id=205, du bulletin supplémentaire FreeBSD ainsi que des références CVE CAN-2005-0258 et CVE CAN-2005-0259.