S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 04 août 2006 No CERTA-2006-AVI-330

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans Phorum

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance ;
• cross site scripting.

2 Systèmes affectés

Phorum versions 5.1.14 et antérieures.

3 Description

Deux vulnérabilités de type php include permettent l'exécution de code arbitraire à distance sur le serveur. L'exploitation de ces failles nécessitent l'activation de la variable register_globals.

Une vulnérabilité permettant de réaliser des attaques de type cross site scripting a également été découverte.

4 Solution

Mettre à jour Phorum en version 5.1.15 (voir Documentation).

5 Documentation

• Notes de changement de version 5.1.15 de Phorum du 13 juillet 2006 :

  http://www.phorum.org/phorum5/read.php?12,114358
  

• Version 5.1.15 de Phorum :

  http://www.phorum.org/downloads.php
  

• Référence CVE CVE-2006-3615 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3615
  

Gestion détaillée du document

04 août 2006

version initiale.