Je propose:
De répondre au gars en disant:
1) Merci de nous avoir prévenu de la faille
2) De lui demande comment pourrait-il nous aider
Une fois qu'on reçoit sa réponse (qui sera sûrement une
proposition de "security consulting" chiffré) on lui dit qu'on a
besoin de réfléchir d'ici la fin de la visite de la HCERES, pour
gagner du temps...
Et après, il nous faudrait un inventaire de:
--Tous les applications (Étamine, site web, scripts php sur les
pages perso, diverses scritps php qui trainent, en fait tout php
qui a acccès a la base de donnée menacée PORTAIL (celle d'Étamine)
Après, je propose:
a) sur ce qui est php7, protéger tous les champs de texte avec
une bibliothèque qui es sécurise contre une injection SQL
potentielle
b) éteindre tout ce qui n'est php7 (Étamine inclus)
Amitiés
Jorge
PS: Marisol et Xavier me disent que la bibliothèque avec laquelle
Michael protéger son joomla des injections SQL n'est plus à
jour...
Je n'avais pas vu la gravité de la chose.
Il faudrait faire quelque chose là, de façon très urgente... (au risque d'avoir tous les données du labo effacés où le site web sous attaque pendant la visite de la HCERES!!!
Soit on se met comme des malades a faire une liste de tous les champs de texte géré par des programmes php chez Etamine + vieux site web + nouveau site web + scripts personnelles qui se conectent à la base de données Portail, par où on peut injecter du SQL via PHP, soit on contacte le gars pour qu'il nous aide (très probablement il va vouloir de l'argent).... mais ça s'est un peut honteux pour un labo d'informatique, n'est-ce pas?
Au moins il faudra répondre en lui remerciant gentiment de nous avoir prévenu de la faille de sécurité (et peut être en lui disant que nous sommes en train de réfléchir à un cours d'action à suivre, qu'on le contactera prochainement).
Amitiés
Jorge
!DSPAM:10297,5a733fc2286135477914087!
-------- Message transféré --------
Sujet : [Systeme] Fwd: Re: I Found Vulnerability On the Site (http://lipn.univ-paris13.fr/) Date : Thu, 1 Feb 2018 09:05:35 +0100 De : Étienne André <Etienne.Andre@lipn.univ-paris13.fr> Organisation : Université Paris 13 Pour : Équipe système LIPN <systeme@lipn.univ-paris13.fr>
Pour info (bis)
-------- Message transféré --------
Sujet : Re: I Found Vulnerability On the Site (http://lipn.univ-paris13.fr/) Date : Thu, 1 Feb 2018 12:42:12 +0700 De : Arnold Panggau <arnoldtriwardhana08@gmail.com> Pour : contact@lipn.univ-paris13.fr, Etienne.Andre@univ-paris13.fr, mascre@univ-paris13.fr, vpdsi@univ-paris13.fr
Hello,I am waiting for your answer, what about the vulnerability of this site, do you ignore it ?
Thanks
On 26 January 2018 at 04:30, Arnold Panggau <arnoldtriwardhana08@gmail.com> wrote:
Hello,I found an error bug (vulnerability) on your site http://lipn.univ-paris13.fr/ It can be exploited to view and even access the table structure and contents of your database.
Introduce My Name Arnold Pang gau, I am a web security tester. this link linkedin my account https://www.linkedin.com/in/arnold-panggau/
I will give you details about errors on your site and if necessary, I will help you fix them.If you want to know where the error bug (vulnerability) and need my help to fix it, contact me.I can also provide information so that this incident does not happen again.
This is a very dangerous mistake.And if ignored it will happen:1. Your site will be taken and abused by others2. Your Sensitive Data will be stolen and misused by others3. Your site is inaccessible4. Your website will be planted with scripts that can record transactions on your website5. Your Webiste can be planted back door scripts.
Here I attach evidence of vulnerability exploitation to find your DB.--
RegardsArnold Panggau
--
RegardsArnold Panggau
_______________________________________________ Systeme mailing list Systeme@lipn.univ-paris13.fr https://www-lipn.univ-paris13.fr/mailman/listinfo/systeme !DSPAM:10297,5a733fc2286135477914087!
-- Jorge Garcia Flores Ingénieur de recherche CNRS LIPN - Université Paris 13 http://lipn.univ-paris13.fr/~garciaflores/