S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 04 août 2006
N° CERTA-2006-AVI-330
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans Phorum

Gestion du document

Référence CERTA-2006-AVI-330
Titre Multiples vulnérabilités dans Phorum
Date de la première version04 août 2006
Date de la dernière version04 août 2006
Source(s) Notes de changement de version 5.1.15 de Phorum du 13 juillet 2006
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Exécution de code arbitraire à distance
  • Injection de code indirecte à distance (XSS)

Systèmes affectés

Phorum versions 5.1.14 et antérieures.

Description

Deux vulnérabilités de type php include permettent l'exécution de code arbitraire à distance sur le serveur. L'exploitation de ces failles nécessitent l'activation de la variable register_globals.

Une vulnérabilité permettant de réaliser des attaques de type cross site scripting a également été découverte.

Solution

Mettre à jour Phorum en version 5.1.15 (voir Documentation).

Documentation

Gestion détaillée du document

    le 04 août 2006
    version initiale.