S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 22 décembre 2005 No CERTA-2005-AVI-426-001

Affaire suivie par :

CERTA

Objet : Vulnérabilité de phpBB

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Injection de code.

2 Systèmes affectés

phpBB versions 2.0.17 et antérieures.

3 Description

L'outil phpBB est utilisé dans la mise en œuvre de forums sur l'Internet.

Quelques vulnérabilités ont été découvertes dans le fichier usercp_register.php, permettant d'injecter du code.

4 Solution

http://www.phpbb.com/downloads.php

5 Documentation

• Site Internet de phpBB :

  http://www.phpbb.com
  

• Message posté sur le site de phpBB le 30 octobre 2005 :

  http://www.phpbb.com/phpBB/viewtopic.php?f=14&t=336756
  

• Bulletin de sécurité Debian DSA-925 du 22 décembre 2005 :

  http://www.debian.org/security/2005/dsa-925
  

• Référence CVE CVE-2005-3310 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-3310
  

• Référence CVE CVE-2005-3415 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-3415
  

• Référence CVE CVE-2005-3416 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-3416
  

• Référence CVE CVE-2005-3417 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-3417
  

• Référence CVE CVE-2005-3418 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-3418
  

• Référence CVE CVE-2005-3419 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-3419
  

• Référence CVE CVE-2005-3420 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-3420
  

• Référence CVE CVE-2005-3536 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-3536
  

• Référence CVE CVE-2005-3537 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2005-3537
  

Gestion détaillée du document

31 octobre 2005

version initiale.

22 décembre 2005

ajout du site de téléchargement de phpBB, de la référence au bulletin de sécurité Debian DSA-925 et des références CVE.