S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 08 août 2006 No CERTA-2006-AVI-337

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Webmin & Usermin

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Atteinte à la confidentialité des données.

2 Systèmes affectés

• Webmin 1.280 et versions antérieures ;
• Usermin 1.210 et versions antérieures.

3 Résumé

Une vulnérabilité découverte dans les applications Webmin et Usermin permet à un utilisateur mal intentionné de porter atteinte à la confidentialité des données présentes sur le système.

4 Description

Cette vulnérabilité est causée par une erreur dans le traitement des adresses réticulaires (URL). Un individu malveillant peut exploiter cette vulnérabilité au moyen d'une adresse réticulaire spécialement conçue pour ensuite accéder en lecture aux fichiers présents sur le système.

5 Solution

Appliquer la mise à jour de sécurité Webmin en passant à la version 1.290 disponible à l'adresse :

http://www.webmin.com

Appliquer la mise à jour de sécurité Usermin en passant à la version 1.220 disponible à l'adresse :

http://www.webmin.com/index6.html

6 Documentation

• Bulletin de sécurité Webmin et Usermin du 29 juin 2006 :

  http://www.webmin.com/securty.html
  

• Bulletin de sécurité Gentoo GLSA-200608-11 du 06 août 2006 :

  http://www.gentoo.org/security/en/glsa/glsa-200608-11.xml
  

• Bulletin de sécurité Mandriva MDKSA-2006:125 du 18 juillet 2006 :

  http://www.mandriva.com/security/advisories?name=MDKSA-2006:125
  

• Référence CVE CVE-2006-3392 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3392
  

Gestion détaillée du document

version initiale.