S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 17 décembre 2010
N° CERTA-2010-AVI-616
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans phpMyFAQ

Gestion du document

Référence CERTA-2010-AVI-616
Titre Vulnérabilité dans phpMyFAQ
Date de la première version17 décembre 2010
Date de la dernière version17 décembre 2010
Source(s) Bulletin de sécurité phpMyFAQ du 15 décembre 2010

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

  • phpMyFAQ 2.6.11.
  • phpMyFAQ 2.6.12 ;

Résumé

Une porte dérobée, déposée dans un fichier source de phpMyFAQ, permet de provoquer de l'exécution de code arbitraire à distance.

Description

Suite à la compromission du serveur principal du projet phpMyFAQ, une porte dérobée a été déposée dans les fichiers sources des versions 2.6.11 et 2.6.12. Ces versions compromises, distribuées entre le 4 et le 15 décembre 2010 permettent à un utilisateur malveillant distant d'inclure du code PHP de façon arbitraire.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 17 décembre 2010
    version initiale.