C'est bien sûr une bonne idée de le contacter au moins pour tâter le terrain (et gagner du temps) ; Franck disait qu'il n'était pas sûr qu'il s'agisse (nécessairement) d'argent, mais ça peut être une ligne à son CV ; par exemple un tweet officiel de @univ_paris13 qui annonce publiquement qu'une faille a été corrigée grâce à lui (ça s'est fait par le passé, si j'ai bien compris).

Pour le reste, je n'ai aucune idée de comment fonctionne le site du LIPN, mais y a-t-il autant d'applis php que ça qui ont accès à la base de données Étamine du portail…? Les deux pages qui devraient y avoir accès ne devraient-elles pas être seulement le site public, et le portail ? (qui pourrait d'ailleurs être à une URL cachée - la sécurité par obscurantisme, c'est mal, mais la sécurité par PHP 3 aussi…)

Notamment je ne vois pas trop (mais je répète que je peux oublier des cas évidents) pourquoi nous aurions besoin de taper dans la base du portail depuis nos pages perso (enfin pro).

-- 
Étienne André
Université Paris 13
http://lipn.univ-paris13.fr/~andre

Le 01/02/2018 à 17:57, Jorge Garcia Flores a écrit :

Je propose:

De répondre au gars en disant:

1) Merci de nous avoir prévenu de la faille
2) De lui demande comment pourrait-il nous aider

Une fois qu'on reçoit sa réponse (qui sera sûrement une proposition de "security consulting" chiffré) on lui dit qu'on a besoin de réfléchir d'ici la fin de la visite de la HCERES, pour gagner du temps...

Et après, il nous faudrait un inventaire de:

--Tous les applications (Étamine, site web, scripts php sur les pages perso, diverses scritps php qui trainent, en fait tout php qui a acccès a la base de donnée menacée PORTAIL (celle d'Étamine)

Après, je propose:

a) sur ce qui est php7, protéger tous les champs de texte avec une bibliothèque qui es sécurise contre une injection SQL potentielle
b) éteindre tout ce qui n'est php7 (Étamine inclus)

Amitiés

Jorge

PS: Marisol et Xavier me disent que la bibliothèque avec laquelle Michael protéger son joomla des injections SQL n'est plus à jour...

Le 01/02/2018 à 17:29, Jorge Garcia Flores a écrit :

Je n'avais pas vu la gravité de la chose.

Il faudrait faire quelque chose là, de façon très urgente...  (au risque d'avoir tous les données du labo effacés où le site web sous attaque pendant la visite de la HCERES!!!

Soit on se met comme des malades a faire une liste de tous les champs de texte géré par des programmes php chez Etamine + vieux site web + nouveau site web + scripts personnelles qui se conectent à la base de données Portail, par où on peut injecter du SQL via PHP, soit on contacte le gars pour qu'il nous aide (très probablement il va vouloir de l'argent).... mais ça s'est un peut honteux pour un labo d'informatique, n'est-ce pas?

Au moins il faudra répondre en lui remerciant gentiment de nous avoir prévenu de la faille de sécurité (et peut être en lui disant que nous sommes en train de réfléchir à un cours d'action à suivre, qu'on le contactera prochainement).

Amitiés

Jorge

-------- Message transféré --------

Sujet :	[Systeme] Fwd: Re: I Found Vulnerability On the Site (http://lipn.univ-paris13.fr/)
Date :	Thu, 1 Feb 2018 09:05:35 +0100
De :	Étienne André <Etienne.Andre@lipn.univ-paris13.fr>
Organisation :	Université Paris 13
Pour :	Équipe système LIPN <systeme@lipn.univ-paris13.fr>

Pour info (bis)

-------- Message transféré --------

Sujet :	Re: I Found Vulnerability On the Site (http://lipn.univ-paris13.fr/)
Date :	Thu, 1 Feb 2018 12:42:12 +0700
De :	Arnold Panggau <arnoldtriwardhana08@gmail.com>
Pour :	contact@lipn.univ-paris13.fr, Etienne.Andre@univ-paris13.fr, mascre@univ-paris13.fr, vpdsi@univ-paris13.fr

Hello,

I am waiting for your answer, what about the vulnerability of this site, do you ignore it ?

Thanks

On 26 January 2018 at 04:30, Arnold Panggau <arnoldtriwardhana08@gmail.com> wrote:

Hello,

I found an error bug (vulnerability) on your site http://lipn.univ-paris13.fr/

It can be exploited to view and even access the table structure and contents of your database.

Introduce My Name Arnold Pang gau, I am a web security tester. this link linkedin my account https://www.linkedin.com/in/arnold-panggau/

I will give you details about errors on your site and if necessary, I will help you fix them.

If you want to know where the error bug (vulnerability) and need my help to fix it, contact me.

I can also provide information so that this incident does not happen again.

This is a very dangerous mistake.

And if ignored it will happen:

1. Your site will be taken and abused by others

2. Your Sensitive Data will be stolen and misused by others

3. Your site is inaccessible

4. Your website will be planted with scripts that can record transactions on your website

5. Your Webiste can be planted back door scripts.

Here I attach evidence of vulnerability exploitation to find your DB.

--

Regards

Arnold Panggau

--

Regards

Arnold Panggau

_______________________________________________
Systeme mailing list
Systeme@lipn.univ-paris13.fr
https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme


!DSPAM:10297,5a733fc2286135477914087!

-- 
Jorge Garcia Flores
Ingénieur de recherche CNRS
LIPN - Université Paris 13
http://lipn.univ-paris13.fr/~garciaflores/

!DSPAM:10297,5a73651937482066621316!