[Résolu] Faille de sécurité MODx 0.9.2.1?

La mésaventure m’est arrivée ce samedi midi alors que je mettais un nouvel article en ligne.
Un "hackeur" a réussi à placer un fichier index.html à la racine du site et à modifier le index.php d’accès au manager, indiquant que le site a été hacké.

Vous pouvez voir des captures d’écran sur mon site: http://adr.gig.free.fr dans l’encadré rouge.

Voyant cela je rétablie de suite les bons fichiers mais dans la foulée le type remet les siens. Je recommence, et là il remplace le index.php de la racine. Je nettoie le tout une nouvelle fois, et depuis plus de nouvelles.

Il n’y a eu aucun dégat, rien d’autre d’effacé ou de modifié sur le serveur ni dans la bdd. Mon site est hébergé chez free.fr, j’ai depuis changé le mot de passe d’accès du serveur ftp/bdd.

Dans les pages modifiées on voit un drapeau turque. J’ai consulté les logs et je constate qu’effectivement j’ai eu de la visite de Turquie. Le plus surprenant est le domaine référent : "google.com.tr" avec le mot-clef suivant:

"powered by MODx" site:fr

Il semble donc que l’attaque soit ciblée sur MODx!

Donc je m’interroge sur la sécurité de MODx. J’utilise pour l’instant la version 0.9.2.1 rev 1005; vivement la 0.9.5.
Il y a-t-il une faille de sécurité non patchée permettant de modifier des fichiers sur le serveur?

Edit: Je viens de lire ce post qui doit répondre à la question: http://modxcms.com/forums/index.php/topic,8604.0.html
Edit 2: Effectivement le contenu du fichier Thumbnail.php a été effacé.

Je vois que tu as trouvé le post côté anglais et relayé quelques minutes après sur le forum francophone équivalent :
http://modxcms.com/forums/index.php/topic,8606.0.html

Quant à la sécurité d’une manière générale, le patch est sorti 2h après avoir été alerté
Et cette faille ne concerne que les serveurs mal configurés, c’est à dire avec register_globals sur On... malheureusement, cela concerne un certains nombres de serveurs mutualisés... les hébergeurs ne font pas leur boulot

Bonjour Davidm,

Quand tu dis "serveur mal configuré" il faut aussi savoir que cela n’est toujours pas évident !
Si tu as plus de 100 clients sur un serveur qui avait le global sur ’ON’ depuis son existence, et des tas de scripts installés, je me vois difficilement mettre le global sur ’off’ tout simplement !
Il va y avoir des tas d’applications sur ce serveur qui ne vont plus fonctionner, voir des sites entiers et je vais recevoir des plaintes de clients qui me disent que mon hébergement est foireux que leur site ne marche plus !
Je sais que tu as raison, mais il ne suffit pas de ....

Patrick

Oui tu as raison (et au fait, bienvenue sur les forums de MODx, toujours un plaisir de voir les membres du Hub ici )
Un certain nombre d’applications web nécessite register_globals On, mais ça n’est pas vraiment considéré comme une preuve d’un code moderne et rigoureux. Disons que le problème du mutualisé c’est bien celui là, l’hétérogéneité des config.

Le mieux, c’est d’avoir la possibilité de modifier php.ini compte par compte. J’avais ça chez TextDrive et ça permet d’être hyper souple... mais je crois que ça requiere phpSuExec et de faire tourner php en tant que cgi... faudrait voir ça avec Dan