S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 19 décembre 2008 No CERTA-2008-AVI-607

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans Sympa

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Élévation de privilèges ;
• injection de code indirecte.

2 Systèmes affectés

Sympa versions 5.4.x antérieures à 5.4.4.

3 Résumé

Deux vulnérabilités dans Sympa permettent une élévation des privilèges et une injection SQL.

4 Description

Deux vulnérabilités ont été corrigées dans Sympa :

• une élévation des privilèges est possible, par l'intermédiaire des fichiers temporaires ;
• une injection de requêtes SQL est possible en manipulant les cookies.

5 Solution

La version 5.4.4 de Sympa corrige ces vulnérabilités.

6 Documentation

• Annonce de la version 5.4.4 de Sympa du 18 décembre 2008 :

  http://www.sympa.org/
  

Gestion détaillée du document

19 décembre 2008

version initiale.