S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 19 septembre 2005 No CERTA-2005-AVI-349

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans TWiki

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de commande arbitraire.

2 Systèmes affectés

Toutes versions de TWiki sauf la publication du 01 septembre 2004 corrgiée par Florian Weimer's.

3 Description

L'application TWiki est un outil de travail collaboratif.

Une vulnérabilité découverte dans la fonction rev() permet à un utilisateur distant mal intentionné d'exécuter des commandes arbitraires au moyen d'une adresse réticulaire malicieusement constituée.

4 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documenation).

5 Documentation

• Site Internet de l'éditeur :

  http://twiki.org
  

• Bulletin de sécurité TWiki du 13 septembre 2005 :

  http://twiki.org/cgi-bin/view/Codev/SecurityAlertExecuteCommandsWithRev
  

• Référence CVE CAN-2005-2877 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-2877
  

Gestion détaillée du document

19 septembre 2005

version initiale.