S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 02 janvier 2006 No CERTA-2006-AVI-002

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans phpBB

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de commande arbitraire à distance ;
• Cross Site Scripting.

2 Systèmes affectés

phpBB 2.x.

3 Résumé

Une vulnérabilité dans phpBB permet à un utilisateur distant mal intentionné de réaliser une attaque de type Cross Site Scripting ou d'exécuter du code arbitraire à distance.

4 Description

L'outil phpBB est utilisé dans la mise en œuvre de forums sur l'Internet.

La vulnérabilité est due à une erreur lors de l'assainnissement de certains arguments. Elle peut être exploitée afin d'exécuter du code HTML ou Javascript sur le poste d'un internaute visitant un forum compromis.

5 Solution

Appliquer la mise à jour de sécurité phpBB en passant à la version 2.0.19 disponible à l'adresse suivante :

http://www.phpbb.com/downloads.php

6 Documentation

• Site Internet de phpBB :

  http://www.phpbbb.com
  

• Mise à jour de sécurité phpBB 2.0.19 :

  http://www.phpbbb.com/downloads.php
  

Gestion détaillée du document

02 janvier 2006

version initiale.