Les vulnérabilités Full Path Disclosure (F.D.P)

Des différentes failles de sécurité qui peuvent exister sur un site WordPress, la faille Full Path Disclosure est l’une des plus répandues.

Considérée comme un hack presque inoffensif, elle peut néanmoins être critique si utilisée en complément d’une autre attaque.

Difficile à identifier et à détecter, une divulgation du chemin complet (Full Path Disclosure en français) peut s’avérer très dangereuse si rien n’est fait à temps pour régler le problème.

Qu’est-ce que la faille de sécurité Full Path Disclosure : ?

Le Full Path Disclosure (F.D.P) est une fonction php qui indique le chemin d’accès à complet à un fichier. Utilisée à des fins malveillantes, certains hackers provoquent volontairement une erreur afin de révéler le chemin d’un script d’un serveur et obtenir des informations clés concernant l’arborescence d’un site web.

Lorsque qu’un pirate informatique tente d’accéder à un fichier ou un répertoire qui n’existe pas (en injectant un caractère inattendu dans une fonction), la page renvoie une fatal error contenant des informations détaillées sur le script.

Voici un exemple d’erreur affiché :

Fatal error: Call to undefined function _deprecated_file() in /datas/vol12/w4a1b9c5d/var/www/blog-exemple.fr/htdocs/wp-includes/rss-functions.php on line 8

F.D.P : Quels sont les risques de cette faille WordPress ?

Seule, le “Full Path Disclosure” est une faille de sécurité inoffensive : elle n’affiche qu’un simple message d’erreur ! Cependant, combinée à une injection SQL ou à une faille LFI, elle se transforme en une menace critique pour le site web.

C’est pourquoi un check de la part d’un développeur et la mise en place de certaines mesures sont grandement recommandés afin de garantir la sécurité des données et des fichiers sur le serveur.

Comment se protéger de la faille de sécurité Full Path Disclosure ?

Il est possible (et recommandé) de protéger ses données de la faille Full Path Disclosure. Différentes méthodes existent en fonction des accès que vous avez à votre serveur.

Vous ne savez pas comment vous y prendre ? Si vous n’avez pas de connaissances en programmation, évitez de toucher au code de votre site WordPress. Faites plutôt appel à un spécialiste.

Modifier l’option display_errors

Dans le cas d’un serveur dédié par exemple, vous pouvez avoir un accès complet à votre serveur et aux fichiers qui s’y trouvent.

Si tel est le cas, cherchez le fichier php.ini. Il se trouve dans le répertoire ci-contre : C:\wamp\bin\php\php5.3.8\

Ouvrez ce fichier, puis modifier l’option display_errors = ‘on’ : passez là en ‘off’.

Contrer la faille F.D.P sur un serveur web Apache

Votre site est hébergé sur un serveur Apache ? Une autre façon de réduire la vulnérabilité de votre site web et de se protéger d’une potentielle exploitation de vos infos par F.D.P est d’éditer directement le fichier de configuration d’Apache (apache2.conf). Voici le code à intégrer :

[pastacode lang= »apacheconf » manual= »php_flag%C2%A0%20display_errors%C2%A0%20off » message= » » highlight= » » provider= »manual »/]

Faire appel à un spécialiste WordPress

Des méthodes pour résoudre le problème lié aux vulnérabilités “File Path Disclosure”, contacter un consultant en sécurité WordPress est de loin la plus simple, la plus efficace et la plus rapide, surtout si vous n’êtes pas familiarisé avec le code.

Vous souhaitez faire appel à un expert ? Melwynn Rodriguez, consultant SEO et spécialiste sécurité WordPress est à votre disposition pour configurer votre serveur et le sécuriser contre la faille File Path Disclosure, mais aussi d’autres failles plus critiques que beaucoup de propriétaires de sites WordPress ignorent.

Autres articles :