Bof... ça ne corrige pas la faille pour autant.
Et tant qu'il est possible d'injecter des requetes maison dans les logs du serveur web (même dans le error_log, donc raf de la "redirection vers https") awstats risque de se vautrer lorsqu'on lance l'analyse de ces logs (je ne sait pas si c'est la faille visée par ce vers, mais c'est une faille qui a affecté awstats).
Je t'accorde volontier que l'accès aux services du backoffice / d'administration du serveur (comme la consultation des stats par awstats ou webhint) devrait généralement être authentifiés et par conséquent, accessible seulement par SSL (parceque l'auth web sur plain http ... hum ...), mais c'est une autre question.
Je saisis l'occasion pour manifester mon mécontetement à l'égard de nombreuses applications web ultra populaires qui s'offrent le luxe de vulnérabilités critiques tout les deux ou trois mois. On se croirait revenus à l'époque de wu-ftpd !
C'est choquant de voir autant de failles triviales publiées pour de simples applis web en languages interprétés, lorsque, à l'opposé, les services / applications système écrites en langage casse-gueule sont devenues plutôt robustes (les failles sur ces applis sont de plus en plus rare ou du moins, de plus en plus sophistiquées / subtiles). Voilà qui pourri la sécurité (et la réputation de fiabilité) des serveurs unix, malgré tout les efforts des devs système !
Il faudrait vraiment que les developpeurs d'awstats, squirrelmail et autre phpmyadmin se ressaisissent, ou arrètent les frais.
Et en tout cas, je déconseille aux admins d'installer ces logiciels sur leurs serveurs.
[^] # Re: Petite solution
Posté par herodiade . En réponse à la dépêche Un petit ver pour Linux. Évalué à 5.
Et tant qu'il est possible d'injecter des requetes maison dans les logs du serveur web (même dans le error_log, donc raf de la "redirection vers https") awstats risque de se vautrer lorsqu'on lance l'analyse de ces logs (je ne sait pas si c'est la faille visée par ce vers, mais c'est une faille qui a affecté awstats).
Je t'accorde volontier que l'accès aux services du backoffice / d'administration du serveur (comme la consultation des stats par awstats ou webhint) devrait généralement être authentifiés et par conséquent, accessible seulement par SSL (parceque l'auth web sur plain http ... hum ...), mais c'est une autre question.
Je saisis l'occasion pour manifester mon mécontetement à l'égard de nombreuses applications web ultra populaires qui s'offrent le luxe de vulnérabilités critiques tout les deux ou trois mois. On se croirait revenus à l'époque de wu-ftpd !
C'est choquant de voir autant de failles triviales publiées pour de simples applis web en languages interprétés, lorsque, à l'opposé, les services / applications système écrites en langage casse-gueule sont devenues plutôt robustes (les failles sur ces applis sont de plus en plus rare ou du moins, de plus en plus sophistiquées / subtiles). Voilà qui pourri la sécurité (et la réputation de fiabilité) des serveurs unix, malgré tout les efforts des devs système !
Il faudrait vraiment que les developpeurs d'awstats, squirrelmail et autre phpmyadmin se ressaisissent, ou arrètent les frais.
Et en tout cas, je déconseille aux admins d'installer ces logiciels sur leurs serveurs.
</coup de gueule>