S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 26 mars 2007 No CERTA-2007-AVI-111-001

Affaire suivie par :

CERTA

Objet : Vulnérabilité de Webcalendar

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

Webcalendar version 1.0.4 et antérieures.

3 Résumé

Une vulnérabilité de Webcalendar permet à un utilisateur malveillant d'exécuter du code arbitraire à distance sur le système vulnérable.

4 Description

Une erreur affecte le traitement des paramètres non spécifiés. Cette erreur permettrait à un utilisateur malveillant de modifier des variables globales et d'exécuter du code PHP arbitraire à distance.

5 Solution

La version 1.0.5 corrige le problème. Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Note de la version 1.0.5 de Webcalendar :

  http://sourceforge.net/project/shownotes.php?release_id=491130
  

• Bulletin de sécurité Debian DSA-1267 du 15 mars 2007 :

  http://www.debian.com/security/2007/dsa-1267
  

• Référence CVE CVE-2007-1343 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1343
  

Gestion détaillée du document

06 mars 2007

version initiale.

26 mars 2007

ajout de la référence CVE et du bulletin de sécurité Debian.