S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 03 février 2011 No CERTA-2011-AVI-049

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans PMB

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Atteinte à l'intégrité des données ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

Les autres versions ne sont pas maintenues et peuvent être vulnérables.

3 Résumé

4 Description

Une vulnérabilité de type injection SQL est présente dans plusieurs programmes de PMB. Elle permet à un utilisateur malveillant de lire des informations sans droit légitime.

Selon le compte système sous lequel s'exécute le serveur MySQL, l'attaquant peut lire tous les fichiers du système et exécuter n'importe quelle requête dans la base de données.

Cette vulnérabilité est activement exploitée.

5 Solution

Les versions 3.3.10 et 3.4.4 de PMB remédient à ce problème.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Site de téléchargement de PMB :

  http://www.pmbservices.fr/nouveau_site/telecharger_inter.html
  

Gestion détaillée du document

03 février 2011

version initiale.