Bulletin d'alerte Debian

DSA-925-1 phpbb2 -- Plusieurs vulnérabilités

Date du rapport:

22 décembre 2005

Paquets concernés:

Vulnérabilité:

Oui

Références dans la base de données de sécurité:

Dans le système de suivi des bogues Debian : Bogue 35662, Bogue 336582, Bogue 336587.
Dans la base de données de suivi des bogues (chez SecurityFocus) : Identificateur BugTraq 15170, Identificateur BugTraq 15243.
Dans le dictionnaire CVE du Mitre : CVE-2005-3310, CVE-2005-3415, CVE-2005-3416, CVE-2005-3417, CVE-2005-3418, CVE-2005-3419, CVE-2005-3420, CVE-2005-3536, CVE-2005-3537.

Pour plus d'information:

Plusieurs vulnérabilités ont été découvertes dans phpBB, un logiciel de forum sur le web, habillable et truffé de fonctionnalités. Le projet « Common Vulnerabilities and Exposures » a identifié les problèmes suivants :

CVE-2005-3310
De nombreuses erreurs d'interprétation permettaient à des utilisateurs authentifiés d'injecter un script web arbitraire si l'envoi d'avatar et l'utilisation d'avatar distant étaient activés.
CVE-2005-3415
phpBB permettait à des attaquants distants de contourner les mécanismes de protection qui désinscrivent les variables globales, ce qui permettait aux attaquants de manipuler le fonctionnement de phpBB.
CVE-2005-3416
phpBB permettait à des attaquants distants de contourner les vérifications de sécurité si la variable register_globals était activée et si la fonction session_start n'était pas appelée pour gérer la session.
CVE-2005-3417
phpBB permettait à des attaquants distants de modifier les variables globales et de contourner les mécanismes de sécurité.
CVE-2005-3418
De nombreuses vulnérabilités de script intersites (« cross-site scripting » ou XSS) permettaient à des attaquants distants d'injecter des scripts web arbitraires.
CVE-2005-3419
Une vulnérabilité d'injection SQL permettait à des attaquants distants d'exécuter des commandes SQL arbitraires.
CVE-2005-3420
phpBB permettait à des attaquants distants de modifier des expressions rationnelles et d'exécuter du code PHP en utilisant le paramètre signature_bbcode_uid.
CVE-2005-3536
L'absence de vérification des entrées de type sujet permettait à des attaquants distants d'injecter des commandes SQL arbitraires.
CVE-2005-3537
L'absence de validation des requêtes permettait à des attaquants distants d'éditer les messages privés d'autres utilisateurs.

L'ancienne distribution stable (Woody) ne contient pas phpbb2.

Pour l'actuelle distribution stable (Sarge), ces problèmes ont été corrigés dans la version 2.0.13+1-6sarge2.

Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 2.0.18-1.

Nous vous recommandons de mettre à jour vos paquets phpbb2.

Corrigé dans:

Debian GNU/Linux 3.1 (sarge)

Source :: http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1-6sarge2.dsc; http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1-6sarge2.diff.gz; http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13+1.orig.tar.gz
Composant indépendant de l'architecture :: http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-conf-mysql_2.0.13-6sarge2_all.deb; http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2-languages_2.0.13-6sarge2_all.deb; http://security.debian.org/pool/updates/main/p/phpbb2/phpbb2_2.0.13-6sarge2_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.