S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 22 novembre 2005
N° CERTA-2005-AVI-465
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de Mambo

Gestion du document

Référence CERTA-2005-AVI-465
Titre Vulnérabilité de Mambo
Date de la première version22 novembre 2005
Date de la dernière version01 décembre 2005
Source(s) Bulletin de sécurité Secunia SA17622 du 17 novembre 2005
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de commandes arbiraires à distance

Systèmes affectés

Mambo 4.5.2.3 et versions antérieures.

Résumé

Une vulnérabilité dans Mambo permet à un utilisateur mal intentionné d'exécuter des commandes arbiraires à distance sur la plate-forme vulnérable.

Description

Mambo est un gestionnaire de contenu écrit en langage PHP.
Une vulnérabilité dans l'émulation register_globals dans le fichier globals.php permet à un utilisateur mal intentionné d'exécuter des commandes arbiraires à distance et donc de compromettre la plate-forme vulnérable.

Solution

En attendant la prochaine version de Mambo, un correctif pour Mambo version 4.5.2.3, publié par l'équipe de développement de Mambo, est disponible à l'adresse suivante :

http://forum.mamboserver.com/showthread.php?t=66154

Documentation

Gestion détaillée du document

    le 22 novembre 2005
    version initiale.
    le 01 décembre 2005
    ajout de la référence à la mise à jour FreeBSD.