Risques

  • Atteinte à l'intégrité des données
  • Atteinte à la confidentialité des données
  • Exécution de code arbitraire à distance
  • Injection de code indirecte à distance (XSS)

Systèmes affectés

  • phpSysInfo 1.x ;
  • phpSysInfo 2.x.

Résumé

Une vulnérabilité dans phpSysInfo permet à un utilisateur mal intentionné de porter atteinte à l'intégrité des donnéees présentes sur le serveur vulnérable pour ensuite exécuter du code arbitraire à distance sur les postes clients.

Description

phpSysInfo est un programme en langage php qui retourne graphiquement des informations sur système.

Une vulnérabilité dans l'émulation register_globals permet à un utilisateur mal intentionné de porter atteinte à l'intégrité des donnéees présentes sur le serveur afin de s'en servir pour exécuter du code arbitraire à distance sur les postes clients.

Solution

Appliquer la mise à jour de sécurité phpSysInfo en passant à la version 2.4.1 disponible à l'adresse suivante :

http://sourceforge.net/project/showfiles.php?group_id=15

Documentation