S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 13 mai 2009 No CERTA-2009-AVI-184

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans Dokeos

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Atteinte à l'intégrité des données ;
• atteinte à la confidentialité des données ;
• injection de code SQL ;
• injection de code indirecte.

2 Systèmes affectés

Dokeos versions 1.8.5 et antérieures.

3 Résumé

De multiples vulnérabilités dans Dokeos permettent de réaliser des injections de code SQL, des injections de code indirectes et de porter atteinte à la confidentialité des données.

4 Description

De multiples vulnérabilités ont été découvertes dans Dokeos. Celles-ci permettent de réaliser des injections de code SQL et des injections de code indirectes (cross-site scripting), ainsi que de porter atteinte à la confidentialité de certaines données (traversal directory).

5 Solution

Appliquer le correctif mis à disposition par l'éditeur (voir Documentation).

6 Documentation

• Message du 12 mai 2009 dans le wiki sécurité de Dokeos :

  http://www.dokeos.com/wiki/index.php/Security#Dokeos_1.8
  

• Correctif de l'éditeur :

  http://www.dokeos.com/download/security/20090512/patch-dokeos-1.8.5-20090512.zip
  

Gestion détaillée du document

13 mai 2009

version initiale.