Plusieurs vulnérabilités à distance ont été découvertes dans phpBB, un forum basé sur la Toile. Le projet des expositions et vulnérabilités communes (CVE) identifie les problèmes suivants :
La messagerie privée permet la falsification de requêtes intersites rendant possible la suppression de tous les messages privés d'un utilisateur en les envoyant vers une page conçue spécialement.
La falsification de requêtes intersites permet à un attaquant de réaliser diverses actions au nom d'un utilisateur connecté (ne s'applique qu'à Sarge).
Un paramètre de démarrage négatif permet à un attaquant de créer des sorties invalides (ne s'applique qu'à Sarge).
Les cibles de redirection ne sont pas complètement vérifiées, laissant le champ libre à des redirections externes non autorisées via un forum phpBB (ne s'applique qu'à Sarge).
Un administrateur de forum authentifié peut télécharger des fichiers de n'importe quel type en utilisant des noms de fichiers conçues spécialement (ne s'applique qu'à Sarge).
Pour l'ancienne distribution stable (Sarge), ces problèmes ont été corrigés dans la version 2.0.13+1-6sarge4.
Pour la distribution stable (Etch), ces problèmes ont été corrigés dans la version 2.0.21-7.
Pour la distribution instable (Sid), ces problèmes ont été corrigés dans la version 2.0.22-3.
Nous vous recommandons de mettre à jour votre paquet phpbb2.
Les hachés MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.