S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 18 mai 2009 No CERTA-2009-AVI-193

Affaire suivie par :

CERTA

Objet : Vulnérabilités dans Claroline

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Injection de code indirecte ;
• injection de code SQL.

2 Systèmes affectés

Claroline versions 1.8.11 et antérieures.

3 Résumé

Deux vulnérabilités dans Claroline permettent d'injecter du code SQL et de réaliser des injections de code indirectes.

4 Description

Deux vulnérabilités ont été découvertes dans Claroline :

• un paramètre n'est pas correctement filtré dans le fichier /claroline/group/group.php, ce qui permet d'injecter du code SQL ;
• une faille dans le fichier /claroline/linker/notfound.php permet de réaliser des injections de code indirectes.

5 Solution

Mettre Claroline à jour en version 1.9.0.

6 Documentation

• Forum de Claroline :

  http://forum.claroline.net/
  

• Version 1.9.0 de Claroline :

  http://www.claroline.net/download/stable.html
  

Gestion détaillée du document

18 mai 2009

version initiale.