contributions Multiples vulnérabilités dans Neos CMS

Plusieurs vulnérabilités de différentes familles ont été découvertes au sein du CMS Open source Neos 2.0.3.

La version 2.0.3 du CMS Open source Neos, basée sur le framework PHP Flow possède plusieurs failles de sécurité :

• Deux vulnérabilités de type Stored XSS, permettant notamment de piéger un utilisateur possédant des privilèges avancés sur le CMS
• Une vulnérabilité de type Reflected XSS, exploitable sans authentification
• Une vulnérabilité de type Arbitrary File Upload, permettant à un utilisateur possédant les droits “éditeur” ou “administrateur” d’uploader un script PHP sur le serveur afin d’y exécuter des commandes systèmes.

Ces différents vecteurs d’attaques peuvent, combinés, amener à une compromission partielle d’un serveur web. Le fait qu’une vulnérabilité exploitable sans authentification permette de faire exécuter du code JavaScript dans le contexte d’exécution d’un administrateur peut amener à l’obtention d’un accès privilégié sur le CMS. Accès qui peut ensuite être utilisé pour charger un script PHP permettant l’exécution de commandes systèmes.

Après plusieurs échanges avec l’équipe en charge du développement du CMS Neos et du framework PHP Flow, les différentes vulnérabilités ont été identifiées et corrigées. L’alerte remontée concernant ces différentes vulnérabilités à donc amené à l’amélioration de la sécurité du CMS Neos et à la parution d’une nouvelle version de l’application : Neos 2.0.4

Les différents types de vulnérabilités découvertes sur la version 2.0.3 de Neos CMS font partie des failles les plus souvent présentes dans les environnements, sites et applications web. Toutes figures dans l’OWASP Top Ten, qui référence les failles de sécurité les plus courantes sur les applications web.

Pour plus d’informations quant à l’analyse de vulnérabilité, l’audit de système (boite-blanche, boite-noire) et l’évaluation globale de la sécurité de votre SI, n’hésitez pas à nous contacter.

Sources & ressources :

– Site du projet Neos
– OWASP Top Ten
– Advisory
– Security Fix Neos / Flow

Mickaël

Consultant Sécurité

[:en]Plusieurs vulnérabilités de différentes familles ont été décelées au sein du CMS Open source Neos CMS.

Différents types de vulnérabilités ont été trouvées sur la version 2.0.3 de Neos CMS. Parmis ces vulnérabilités :

– Deux vulnérabilités de type Stored XSS, permettant notamment de piéger un utilisateur possédant des privilèges avancés sur le CMS
– Une vulnérabilités de type Reflected XSS, exploitable sans authentification
– Une vulnérabilité de type “Arbitrary File Upload”, permettant à un utilisateur possédant les droits “éditeur” ou “administrateur” de charger un script PHP sur le serveur afin d’y exécuter des commandes systèmes.

Ces différents vecteurs d’attaques peuvent, combinés, amener à une compromission partielle d’un serveur web. Le fait qu’une vulnérabilité permettant de faire exécuter du code JavaScript dans le contexte d’exécution d’un administrateur permet d’obtenir un accès privilègés sur le CMS. Accès privilégés qui peut ensuite être utilisé pour charge un script PHP permettant l’exécution de commande système.

Après plusieurs échanges avec l’équipe en charge du développement du CMS Neos, les différentes vulnérabilités ont été identifiées et comblées. L’alerte remontée concernant ces différentes vulnérabilités à donc amené à améliorer la sécurité du CMS Neos et à la parution d’une nouvelle version de l’application :

Les différents type de vulnérabilités trouvées sur la versoin 2.0.3 de Neos CMS font partie des failles les plus souvent présentent dans les environnements, site et application web. Toutes figures dans l’OWASP Top Ten, qui référence les failles de sécurité les plus courantes sur les applications web.

Sources & ressources :

– https://www.neos.io/
– https://www.owasp.org/index.php/OWASP_Top_Ten_Cheat_Sheet
– Advisory
– http://information-security.fr/sxss-rxss-arbitrary-file-upload-neos-cms-version-2-0-3