Mises à jour de sécurité pour IP.Board

[Erwin]

Mises à jour de sécurité pour IP.Board

 

IPS a publié 3 mises à jour de sécurité mineures concernant des problèmes récemment signalés dans IP.Board. Ces problèmes de sécurité dont de faible importance et nécéssitent un ensemble de circonstances bien précises pour pouvoir être exploités. Même si tel était le cas, l'impact serait moindre grâce aux diverses fonctions de sécurité du produit.

 

 

Problème 1 (signalé par http://www.turkish-media.com/forum/)

 

Si vous utilisez un jeu de caractère (charset) autre qu'ISO-8859-1 ou UTF-8 sur votre forum, il est possible d'envoyer du JavaScript dans les champs de profil. Le risque potentiel est atténué par l'utilisation des cookies HttpOnly. Notez qu'IP.Board est livré en utilisant l'ISO-8859-1 comme jeu de caractère par défaut. Par conséquent, sauf si vous avez modifié le jeu de caractère, votre forum ne devrait pas être impacté.

 

Problème 2 (Signalé par http://www.criticalsecurity.net/)

 

Un utilisateur peut uploader un fichier n'étant pas une image si ce fichier est nommé comme étant une image dans un format spécifique. Les risques de sécurité sont limité car IP.Board considérera automatiquement comme étant un .txt et le traitera comme tel, néanmoins ceci peut causer l'affichage d'une photo ou d'un avatar corrompu et le stockage d'un script en .txt dans votre dossier uploads. Encore une fois le danger potentiel est limité par l'utilisation des cookies HttpOnly refusant l'accès aux cookies via JavaScript.

 

Problème 3 (Signalé par http://communityseo.com/forums/)

 

Si vous proposez une offre d'abonnement sur votre forum en utilisant le subscriptions manager inclus dans IP.Board et utilisant la promotion automatique dans un groupe utilisateur différent pour l'acheteur, il est possible de modifier les données du formulaire de paiement pour attribuer l'ID de membre à un autre membre. Ce problème requiert un paiement valide déjà effectué et aucun accès non-autorisé ne peut être obtenu par ce biais, cependant un formulaire spécifiquement modifié peut entraîner le rétrogradage d'administrateurs ou modérateur à un groupe de clients, par exemple. Néanmoins, l'opération inverse, la promotion d'un membre dans un groupe administrateur, est impossible.

 

 

Patcher votre IP.Board

 

Le package principal d'IP.Board 2.3.1 a déjà été mis à jour dans l'espace client avec les modification requises. Si vous téléchargez IP.Board après la date de l'annonce, votre installation sera déjà à jour.

 

Fichiers modifiés

 

Téléchargez le pack .zip ci-dessous contenant uniquement les fichiers modifiés. Uploadez-les simplement sur votre installation en écrasant les fichiers précédents.

9.12.2007.zip

 

Instructions manuelles

 

Le fichier suivant contient les instructions manuelles pour corriger les fichiers PHP soi-même.

Instructions.txt

 

--------------------

Annonce originale IPS :

IP.Board Security Enhancements