GLSA 200908-09: DokuWiki: Local file inclusion

http://security.gentoo.org/

Опасность:	высокая
Заголовок:	DokuWiki: Local file inclusion
Дата:	18.08.2009
Ошибки:	#272431
ID:	200908-09

Сводка

An input sanitation error in DokuWiki might lead to the dislosure of local files or even the remote execution of arbitrary code.

Назначение

DokuWiki is a standards compliant Wiki system written in PHP.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
www-apps/dokuwiki	< 20090214b	>= 20090214b	All supported architectures

Описание

girex reported that data from the "config_cascade" parameter in inc/init.php is not properly sanitized before being used.

Воздействие

A remote attacker could exploit this vulnerability to execute PHP code from arbitrary local, or, when the used PHP version supports ftp:// URLs, also from remote files via FTP. Furthermore, it is possible to disclose the contents of local files. NOTE: Successful exploitation requires the PHP option "register_globals" to be enabled.

Обход

Disable "register_globals" in php.ini.

Решение

All DokuWiki users should upgrade to the latest version:

    # emerge --sync
    # emerge --ask --oneshot --verbose ">=www-apps/dokuwiki-2009-02-14b"

Ссылки

CVE-2009-1960

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200908-09.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.