S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 02 mars 2005
N° CERTA-2005-AVI-096-001
Affaire suivie par: CERT-FR
le 02 mars 2005

Avis du CERT-FR

Objet: Vulnérabilités dans phpBB

Gestion du document

Référence CERTA-2005-AVI-096-001
Titre Vulnérabilités dans phpBB
Date de la première version 02 mars 2005
Date de la dernière version 11 juillet 2005
Source(s) Message posté sur le site de phpBB le 27 février 2005
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Obtention des droits de l'administrateur du forum ;
  • atteinte à la confidentialité des données.

Systèmes affectés

phpBB versions 2.0.12 et antérieures.

Résumé

Deux vulnérabilités ont été découvertes dans l'outil phpBB.

Description

L'outil phpBB est utilisé pour la mise en place de forums sur l'Internet. La première vulnérabilité, présente dans le fichier sessions.php, permet d'obtenir les droits de l'administrateur du forum. La seconde vulnérabilité, présente dans le fichier viewtopic.php, permet de visualiser l'arborescence du répertoire web.

Solution

La version 2.0.13 corrige ces vulnérabilités.

Documentation

Gestion détaillée du document

    le 02 mars 2005
    version initiale.
    le 11 juillet 2005
    ajout des bulletins de sécurité iDEFENSE id=204 et id=205, du bulletin supplémentaire FreeBSD ainsi que des références CVE CAN-2005-0258 et CVE CAN-2005-0259.