| Re: [libertempo] Audit de sécurité de Libertempo |
[ Thread Index |
Date Index
| More lists.tuxfamily.org/libertempo Archives
]
- To: "libertempo@xxxxxxxxxxxxxxxxxxx" <libertempo@xxxxxxxxxxxxxxxxxxx>
- Subject: Re: [libertempo] Audit de sécurité de Libertempo
- From: Prytoegrian <prytoegrian@xxxxxxxxxxxxxx>
- Date: Wed, 09 May 2018 04:35:28 -0400
- Dkim-signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=protonmail.com; s=default; t=1525854934; bh=ceGhvADT3p2Ts9R3qc1/vnYLEmjLb0WgKSBZW7ET6iA=; h=Date:To:From:Reply-To:Subject:In-Reply-To:References:Feedback-ID: From; b=yYE7mddmdDAG6RaGwVT2uITxQ5BwpYw5xRBqDuvi3QnE6WGOSWl/1r81GIEqnjfvY IublYv23gyAxueeycRUJCs7g2SLIP3YQnAIJ58dz6L1XWoVNoZl1/G4lqTFqRofANk z0JIx6l5gQuM3s2QfVAH4hbn5VompUWt2kVjgDsU=
- Feedback-id: KsFBIFi2_uytviCkOf-Q6lTBTtCqrYtAgqcz5s2GHraLZD7yUtDsPvzS5B55TzFr3hs4_8aaTNqNRQvjRYxrzw==:Ext:ProtonMail
Bonjour,
comme tu t'en doutes, nous prenons ton mail avec le plus grand des sérieux. Te serait-il possible d'exclure le répertoire vendor de l'analyse ? Je vais avoir besoin de m'organiser et la priorité reste notre logiciel et son code. Pour les autres, j'irai frapper à la porte des fournisseurs incriminés.
Quoi qu'il en soit, merci de l'audit. Si vous utilisez l'appli et que vous avez besoin que les correctifs sortent vite, nous acceptons quelques bras en plus.
+
‐‐‐‐‐‐‐ Original Message ‐‐‐‐‐‐‐
On 9 May 2018 9:20 AM, Vincent Guédé <vincent.guede@xxxxxxxxxxxxxx> wrote:
Suite à la découverte de la faille XSS sur Libertempo, nous avons soumis la dernière version de l'application à un audit de sécurité via CheckMarx.
Je vous envoie le rapport de cet audit.
Par analyse manuelle, nous avons confirmé la quasi totalité des failles de sévérité high. Vous verrez d'ailleurs que la faille XSS signalée n'est qu'une parmi près de 350 potentielles.
Bien entendu, selon les règles de découverte des failles de sécurité, nous ne publions pas cet audit pour vous laisser tout le temps nécessaire pour corriger les problèmes de sécurité.
Bien cordialement,
--
Vincent Guédé
Chargé de mission à la DSI du Rectorat de Bordeaux
Administrateur des ENT académiques
05.57.57.38.00 poste 4437