Cela vaut peut-=EAtre le coup de jetter unoeil sur cette affaire...
A+
Aris
o S=E9curit=E9: Vuln=E9rabilit=E9 importante dans PHPNuke
Vive php-nuke ;))
Plus sérieusement, il y a sûrement des trous dans SPIP, mais pas de
ce type-là. Il n'y a pas de file manager intégré et les possibilités
d'upload (images, logos) sont dûment contrôlées (utilisation d'un hash
lié à l'auteur, limitation des types de fichier).
C'est vrai qu'il est toujours formateur de s'intéresser aux erreurs
des autres.
a+
aris wrote:
Question:
c'est pour des raisons de sécurité que vous avez pas voulu introduire un
filemanager ? ou c'est parce que vous n'en voyez pas l'utilité ? voire
peut-etre parce que vous n'y avez pas pensé au début ?
je pose la question en toute innocence, en tout cas je pense que ca
peut-etre utile ... surtout dans le cadre de l'opération groupware ... et
puis ca peut servir (pour le transfert d'illustrations d'articles qui
reviennent souvent) entre le micro au bureau et le micro a la maison ..
christophe
c'est pour des raisons de sécurité que vous avez pas voulu introduire un
filemanager ? ou c'est parce que vous n'en voyez pas l'utilité ? voire
peut-etre parce que vous n'y avez pas pensé au début ?
Je me permet de répondre...
Un filemanager est toujours utile effectivement mais l'upload doit être assez
contrôlé pour éviter les problèmes du genre nuke (notoirement mal écrit c'est
pas une nouveauté). Les règles de base de l'upload sont :
- seul les utilisateurs "authentifiés" peuvent uploader
- la taille et le nombre des fichiers est limité,
- le type du fichier appartient à une short list (ex : seuls les fichiers .txt,
.zip, .jpg sont autorisés)
Options "parano" :
- les fichiers sont renommés à l'arrivée,
- les fichiers sont stockés dans un répertoire non accessible du serveur et
distribués via un script PHP (genre
http://exemple.com/envoyer.php3?fichier_numero=12345)
Tout ceci fait qu'un filemanager correctement sécurisé n'est pas un petit bout
de programme tout bête à faire.
Je rappelle aussi que le protocole HTTP n'était pas prévu pour ça à l'origine,
et que normalement on uploade avec FTP ou avec des trucs comme WebDAV.
Les upload ou download de fichiers de grande taille via un script PHP peuvent
aussi poser des problèmes de timeout sur le serveur, qui n'est pas supposé
attendre qu'un navigateur web ait fini de recevoir ou d'envoyer un fichier.
Pascal