S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 21 octobre 2009 No CERTA-2009-AVI-453

Affaire suivie par :

CERTA

Objet : Multiples vulnérabilités dans WordPress

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance ;
• déni de service à distance.

2 Systèmes affectés

WordPress versions 2.8.4 et antérieures.

3 Résumé

Une nouvelle version de WordPress corrige un déni de service à distance ainsi que des fragments de code dangereux pouvant mener à une exécution de code arbitraire.

4 Description

La version 2.8.5 de WordPress a été publiée. Celle-ci corrige les éléments suivants :

• une attaque en déni de service à distance est possible via les retroliens ;
• plusieurs fragments du programme, dans lesquels du code php pouvait être interprété, ont été supprimés ;
• la fonctionnalité de téléchargement (upload) a été basculée vers une liste blanche pour tous les utilisateurs (y compris l'administrateur).

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité WordPress 2.8.5 du 20 octobre 2009 :

  http://wordpress.org/development/2009/10/wordpress-2-8-5-hardening-release/
  

Gestion détaillée du document

21 octobre 2009

version initiale.