S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 25 octobre 2006 No CERTA-2006-AVI-382-001

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Webmin et Usermin

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Cross-site scripting ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

• Webmin versions antérieures à 1.296 ;
• Usermin versions antérieures à 1.226.

3 Description

Une vulnérabilité dans le traitement des adresses réticulaires (URL) permet de réaliser des attaques de type cross-site scripting ou d'afficher le code source de certains scripts perl ou CGI.

4 Solution

Mettre à jour en version 1.296 (Webmin) et 1.226 (Usermin). Il s'agit pour le moment de versions de développement (voir Documentation).

5 Documentation

• Bulletin de sécurité Webmin :

  http://www.webmin.com/security.html
  

• Versions de développement 1.296 de Webmin et 1.226 de Usermin :

  http://download.webmin.com/devel/tarballs/
  

• Bulletin de sécurité Debian DSA-1199 du 23 octobre 2006 :

  http://www.debian.org/security/2006/dsa-1199
  

• Référence CVE CVE-2006-4542 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-4542
  

Gestion détaillée du document

05 septembre 2006

version initiale ;

25 octobre 2006

ajout du bulletin Debian et de la référence CVE.