La vuln�rabilit� � distance d'ex�cution de code de PHP XMLRPC affectant Blogging populaire et les plates-formes de CMS aiment WordPress 1.5.1.2 (et abaissez), PostNuke, Drupal, b2evolution TikiWiki etc.
L'aka XML-RPC de PHPXMLRPC pour le PHP est une ex�cution de PHP du XML-RPC, protocole de RPC de Web, et a �t� � l'origine d�velopp� par Edd Dumbill de compagnie de l'information utile. En date du d�gagement 1.0 stable, le projet a �t� ouvert � une participation plus large et d�plac� � SourceForge. PHPXMLRPC est employ� dans un grand nombre d'applications Web populaires telles que PostNuke, Drupal, b2evolution, et TikiWiki. Malheureusement PHPXMLRPC est vuln�rable � une vuln�rabilit� � distance d'ex�cution de code de PHP qui peut �tre exploit�e par un attaquant pour compromettre un syst�me vuln�rable.
Mise � jour :
WordPress 1.5.1.2 et installations inf�rieures sont affect�s par un semblable, non identique, vuln�rabilit�. Il n'emploie pas la biblioth�que ci-dessus.
Solution :
Une version mise � jour de PHPXMLRPC peut �tre t�l�charg�e de leur site Web officiel. Tous les utilisateurs sont conseill�s d'am�liorer imm�diatement. C'est une vuln�rabilit� s�rieuse et il est activement exploit� dans le sauvage.
Les utilisateurs de WordPress devraient imm�diatement am�liorer � WordPress 1.5.1.3.
Pour des utilisateurs de WordPress d�j� sur 1.5.1.2 j'ai rendu une correction disponible pour am�liorer automatiquement � 1.5.1.3. Vous juste devez d�faire la fermeture �clair du dossier dans le r�pertoire racine de WordPress. Et vous �tes fait ! C'est tr�s appropri� aux utilisateurs qui ont apport� l'addition/modifications faites sur commande aux dossiers et aux annuaires de WordPress et d'autres qui simplement ne souhaitent pas passer par (ou ayez peur d'intervenir) le galimatias entier d'une pleine mise � niveau.
Si la mise � niveau n'est pas faisable pour vous actuellement alors supprime le dossier de xmlrpc.php � partir du r�pertoire racine de WordPress comme contournement.
Plus de d�tails sur la vuln�rabilit� et l'exploit peuvent �tre trouv�s ici.
Class� sous le logiciel de CMS, degr� de s�curit� d'ordinateur, nouvelles de titre, PHP, pro Blogging, Web, WordPress |�
� |
� RSS 2.0 |�
� Trackback cet article | �
� Envoyez cet article
Vous pouvez �galement aimer lire |


Ajoutez aux favoris de Technorati


































10 octobre 2005 � 1:15 P.M.
[...] Qu'il s'av�re le point faible �tait un dossier appel� le ��xmlrpc.php.�� C'est un service de Web qui aide des donn�es de mouvement, et fait partie de l'installation standard de WordPress. Sa vuln�rabilit� avait �t� document�e, mais je l'avais manqu�e. BunnySlippers l'avait employ�e pour recouvrir le dossier ��index.php,�� le dossier principal qui produit de toutes les pages sur cet emplacement. [...]