Théophraste Posté 11 Décembre 2010 Posté 11 Décembre 2010 Hello, j'ai eu a subir un hack de dédié via FFCKeditor il y a peu, heureusement stoppé à temps, ils sont entré sur le dédié via une faille de FFCKeditor, à priori une faille récemment découverte, je vous publie ce que j'ai trouvé sur le net : La faille est de type Arbitrary File Upload Vulnerability et concerne le script upload.php. La vulnérabilité touche les versions 2.x à 2.4.3 Le script est accessible depuis un simple navigateur (FCKeditor/editor/filemanager/upload/php/upload.php). En passant le paramètre Type=Media, il est possible duploader nimporte quel type de fichier (y compris avec lextension .php). Cette vulnérabilité peut donc être considérée comme critique étant donné quelle peut entrainer la compromission totale du serveur. Note : un exploit permettant duploader un fichier via un simple formulaire à distance est actuellement diffusé sur le Net. Voilà, si cela peut servir à d'autres à ne pas avoir les même pb que moi ;-).
yuston Posté 11 Décembre 2010 Posté 11 Décembre 2010 La source est là : http://www.undernews.fr/alertes-securite/fckeditor-vulnerabilite-critique-annoncee.html
Ernestine Posté 11 Décembre 2010 Posté 11 Décembre 2010 Salut, Grâce à ce type de messages, n'importe quel cracker peut pirater n'importe quel site avec qui utilise FCKEditor. Il serait préférable de donner la solution au problème, plutôt que de divulguer encore plus la méthode de piratage. En l'occurrence, une bonne solution est de remplacer FCKEditor par la nouvelle mouture : CKEditor.
b0b0 Posté 12 Décembre 2010 Posté 12 Décembre 2010 Bonjour à tous: Juste une petite remarque (car ce message m'a aussi fait flipper): La dernière version en date est là : FCKeditor 2.6.6, released on 15 February 2010 Donc si on garde ses versions à jour, pas de pb. Pour les autres versions plus vieilles, il est recommandé de ne pas autoriser l'upload de fichiers sans vérifier les droits de l'utilisateur avant (cf config.php qui permet d'activer l'upload de fichiers): // WARNING: don't just set "$Config['Enabled'] = true ;", you must be sure that only// authenticated users can access this file or use some kind of session checking. Si l'on a suivi ces 2 recommandations, aucun pb... Merci quand même pour l'alerte b0b0
Bigb06 Posté 13 Décembre 2010 Posté 13 Décembre 2010 Hello, j'ai eu a subir un hack de dédié via FFCKeditor il y a peu, heureusement stoppé à temps, ils sont entré sur le dédié via une faille de FFCKeditor, à priori une faille récemment découverte, je vous publie ce que j'ai trouvé sur le net : Voilà, si cela peut servir à d'autres à ne pas avoir les même pb que moi ;-). Merci pour l'info, en effet ca fait peur
Sujets conseillés
Veuillez vous connecter pour commenter
Vous pourrez laisser un commentaire après vous êtes connecté.
Connectez-vous maintenant