..: BeeSpip [Alerte de sécurité SPIP] :..

Un important trou de sécurité vient d’être détecté dans SPIP ; il affecte toutes les versions disponibles, sur tous les systèmes et dans toutes les configurations.

Vous devez mettre votre site à jour avec la dernière version de Beespip 1.8c disponible dans la section téléchargement

Publié le vendredi 3 février 2006
Mis à jour le lundi 14 mai 2007

par Christophe Gindro

Article au format PDF

9 commentaires

> Nouvelle alerte de sécurité beespip
9 février 2006 [11:58], par marcmebtouche

Bonsoir,

la nouvelle version de SPIP qui corrige la faille de ce week end semble vulnérable à une nouvelle faille dix fois plus grave que la précédente.

En fait il y a deux failles, cf http://www.frsirt.com/english/advisories/2006/0483. La première permet d’écrire des données arbitraires dans ./ecrire/data/spip.log et donc en particulier du code PHP via une faille dans la page squelettes_spip_acces_doc.php3 (celle faille fonctionne très bien). Une seconde faille permettrait de charger via un include PHP un fichier arbitraire sur le disque. Donc le pirate va essayer de faire un include de ./ecrire/data/spip.log ce qui va exécuter les données qu’il vient d’envoyer. Celle ci je n’ai pas réussi à l’exploiter. Le concept de cette faille est classique, sachant que "register global" est désactivé dans les versions récentes de PHP, il y a un hack classique qui consiste en un petit bout de script qui émule la fonctionnalité "register global". En exploitant ceci il est possible d’écraser le contenu de variables en les passant en paramètre d’un GET ou d’un POST. On a la page PHP suivante : ; #ecrase $file si "file" est passé en paramètre d’un GET/POST. include <$file> ; ?> Il suffit de faire un "test.php ?file=autrefichier" pour faire exécuter "autrefichier".

Là le include se faire sur quelque chose construit à partir de $GLOBALS[’type_urls’], l’idée serait donc de faire un include sur ./ecrire/data/spip.log en écrasant $GLOBALS[’type_urls’] mais l’exploit ne fonctionne pas chez moi… Ecraser le contenu d’un Hash ne se fait pas aussi facilement qu’avec un scalaire. Néanmoins, il est possible que cela marche ailleurs… Suivant la conf/version de apache/php.

Contres mesures : -passer en safe_mode On sinon le pirate peut récupérer un shell sur le serveur -supprimer (ou désactiver le fichier squelettes_spip_rss.php).

Cdt.
- > Nouvelle alerte de sécurité beespip
  9 février 2006 [12:31], par Christophe Gindro
  
  Merci.
  Le fichier "spip_rss.php" a été renommé en "spip_rss.php_inactif" et les archives des versions 1.8c de Beespip disponibles depuis ce matin ont été mise à jour.
> Patch de mise à jour
6 février 2006 [14:46], par marcmebtouche

Bonjour,

Cette faille de sécurité permet de retirer les mots de passe de l’interface privée ou injecter des mots de passe administrateur.

Pourquoi ne pas fournir aux utilisateurs de Beespip un patch correctif ?

J’ai mis à jour avec succès ma version de spip 1.8a en remplaçant les fichiers suivants par ceux fournis à cette adresse : http://oasi.ac-aix-marseille.fr ou encore http://www.spip-contrib.net/Alerte-Securite-SPIP

fichiers concernés A la racine : inc-balises.php3 ; inc-messforum.php3 Dans le répertoire ecrire : inc_version.php3 Dans le répertoire formulaires : inc-loginpublic ; inc-formulaires_forum.php3 ;inc-formulaires_signatures.php3 ;inc-formulaires_site.php3 ;inc-formulaire_inscription.php3

Comment updater les versions 1.7.0, je dispose actuellement d’une version 1.7.2 ?

Merci MARC
- > Re : mise à jour
  9 février 2006 [12:36], par Christophe Gindro
  
  Le plus simple est de suivre la procédure de mise à jour.
> Alerte de sécurité SPIP
5 février 2006 [05:20]

Et bien moi, alors que tous mes sites sont sur le même squelette beespip, certains son t passés comme une lettre à la poste et d’autres se sont retrouvés…en squelette :-l Par contre ils ont tous maintenant la particularité d’avoir un repertoire data vide, et si j’enregistre quelque chose il s’efface aussitot…gênant

http://www.mimisking.com

http://www.michel.alcaina.com

http://www.piano-bar-le-king.com

http://www.consulting-LR.com

http://bandabeziers.com
- > Alerte de sécurité SPIP
  6 février 2006 [01:06], par claude34
  
  A part le manque du menu Beespip dans l’espace rédacteur, j’ai finalement pu remettre tout en ordre, j’attends donc la nouvelle version beespip pour finir.
- > Alerte de sécurité SPIP
  25 février 2006 [04:40]
  
  ouf merci pour la nouvelle version, il y avait un problème depuis le patch, dans l’espace redacteur, la déconnection donnait systématiquement un message d’erreur
  
  corrections des liens du message précédent
  
  mimiskiing
  
  michel alcaina
  
  piano bar le king
  
  Consulting LR
  
  bande à béziers
1.8.2g
4 février 2006 [19:50], par robert caron

Juste une chose… J’ai installé la 1.8.2g de spip. Mais je n’accède même plus au site Beespip (j’ai le squelette dist). Robert
- > 1.8.2g
  6 février 2006 [06:59]
  
  J’ai trouvé… Il faut garder l’ancien sommaire.php3 et tout marche.