(reprise texto d’un mail sur spip-ann)
Bonjour,
un grave problème de sécurité vient de nous être signalé ; ce problème affecte toutes les versions de SPIP 2.0.x jusqu’à SPIP 2.0.8, ainsi que la branche 1.9. Il permet à un attaquant ne disposant d’aucun mot de passe de prendre le contrôle de votre site SPIP et de votre serveur web.
L’alerte est d’autant plus sérieuse que le "trou" n’a pas cette fois été découvert par un "gentil", mais par un véritable "méchant" qui a pris le contrôle d’un site existant pour y insérer des malware.
Correctifs
Nous publions donc aujourd’hui deux versions de maintenance de SPIP,
qui corrigent ce bug :
- SPIP 2.0.9, dernière version stable et officielle, qui contient,
outre la correction de ce problème de sécurité, quelques
améliorations, listées ci-dessous.
- SPIP 1.9.2i, version de maintenance de la branche 1.9.2
à télécharger sur => http://files.spip.org/spip/stable/ =>http://files.spip.org/spip/archives/ (pour la version 1.9.2i)
ou, si vous utilisez spip_loader, en vous rendant à l’adresse => http://xxx.example.tld/spip_loader.php
Pour les spécialistes, le patch de sécurité stricto sensu pour la branche 2.0.x, qui ne corrige aucun autre bug et n’apporte aucune autre fonctionnalité, peut se trouver ici : http://fil.rezo.net/secu-14346-1435... Il s’agit des révisions [14347] [14348] [14349] [14350] et [14354].
Pour la branche 1.9.2x le patch est ici : http://trac.rezo.net/trac/spip/chan...
Ecran de sécurité
Si vous n’avez pas la possibilité de procéder à la mise à jour complète tout de suite, nous vous invitons à colmater sans attendre le problème en installant sur votre site l’« écran de sécurité », que vous pouvez découvrir à l’adresse : http://www.spip.net/fr_article4200.html Cet écran permet de bloquer une éventuelle attaque sans pour autant devoir mettre à jour les fichiers de SPIP.
Crédits
L’attaque a été détectée et analysée par Thomas Sutton et Pierre Rousset.
Nous vous rappelons que le meilleur moyen pour nous signaler un problème de sécurité est d’envoyer un mail à la liste spip-team arobize rezo.net




