S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 21 janvier 2008
N° CERTA-2008-AVI-033
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans cPanel

Gestion du document

Référence CERTA-2008-AVI-033
Titre Vulnérabilité dans cPanel
Date de la première version21 janvier 2008
Date de la dernière version21 janvier 2008
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Injection de code indirecte à distance (XSS)

Systèmes affectés

cPanel, versions 5.x à 11.x.

Résumé

Une vulnérabilité du logiciel cPanel permet à utilisateur malveillant de réaliser de l'injection de code indirecte.

Description

Le logiciel cPanel permet d'administrer des applications à distance.

La page dohtaccess.html reçoit un paramètre rurl dont le contenu n'est pas suffisament filtré. Cette vulnérabilité permet à utilisateur malveillant de réaliser de l'injection de code indirecte.

Solution

Utiliser la version 11.17 build 19417 ou plus.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 21 janvier 2008
    version initiale.