Alerte ANSSI : exécution de code arbitraire sur PHP

Toutes les mises à jour de sécurités publiées et les failles annoncées
Reprise notamment des publications du CERT-FR (ANSSI)
Répondre
Avatar du membre
charles
Administrateur du site
Messages : 4114
Enregistré le : 06 avr. 2015 09:02
Etablissement : GHT 15 - CH Saint-Flour
Fonction : RSSI
DPO / DPD : Oui
Site Internet de l'établissement : https://www.ch-stflour.fr
Site Internet personnel ou blog : https://www.forum-sih.fr
Contact :

Alerte ANSSI : exécution de code arbitraire sur PHP

Message par charles » 30 oct. 2019 08:30

Le CERT-FR de l'ANSSI a publié une alerte concernant la vulnérabilité CVE-2019-11043 qui affecte PHP et permet l'exécution de code arbitraire à distance :

https://www.cert.ssi.gouv.fr/alerte/CER ... 9-ALE-014/

Un POC d'exploitation de la vulnérabilité étant déjà disponible, des attaques sont à craindre rapidement.

Contenu caché
Vous devez être inscrit et connecté sur ce forum pour voir le contenu caché.


Le CERT-FR recommande de patcher rapidement et propose également une solution de contournement provisoire :

Il semble possible de se prémunir contre ce code d'exploitation en vérifiant si le fichier existe ou non (par exemple, avec try_files).
Lien vers l'article détaillant la solution de contournement : https://fr.tenable.com/blog/cve-2019-11 ... irect=true

Pour l'obtention des correctifs, voir : viewtopic.php?f=78&t=31&p=5291#p5291

Avatar du membre
charles
Administrateur du site
Messages : 4114
Enregistré le : 06 avr. 2015 09:02
Etablissement : GHT 15 - CH Saint-Flour
Fonction : RSSI
DPO / DPD : Oui
Site Internet de l'établissement : https://www.ch-stflour.fr
Site Internet personnel ou blog : https://www.forum-sih.fr
Contact :

Re: Alerte ANSSI : exécution de code arbitraire sur PHP

Message par charles » 05 nov. 2019 00:18

Contenu caché
Vous devez être inscrit et connecté sur ce forum pour voir le contenu caché.

Répondre

Retourner vers « Alertes de sécurité - Mises à jour et failles »