 |
|
S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information
|
 |
|
Paris, le 27 octobre 2010
No CERTA-2010-AVI-474-001 |
Affaire suivie par :
CERTA
AVIS DU CERTA
Objet : Multiples
vulnérabilités dans TYPO3
Tableau 1: Gestion du document
| Référence |
CERTA-2010-AVI-474-001 |
| Titre |
Multiples
vulnérabilités dans TYPO3 |
| Date de la première
version |
07 octobre 2010 |
| Date de la dernière
version |
27 octobre 2010 |
| Source(s) |
Bulletin de
sécurité TYPO3-SA-2010-020 du 06
octobre 2010 |
| Pièce(s) jointe(s) |
Aucune |
|
Une gestion de version détaillée se trouve
à la fin de ce document.
- Déni de service à distance ;
- atteinte à la confidentialité des
données ;
- élévation de privilèges ;
- injection de code indirecte à distance.
- TYPO3 versions 4.2.x
antérieures à 4.2.15 ;
- TYPO3 versions 4.3.x
antérieures à 4.3.7 ;
- TYPO3 versions 4.4.x
antérieures à 4.4.4.
De multiples vulnérabilités dans TYPO3 permettent un déni de service
à distance, la lecture de certains fichiers du
système, une élévation de
privilèges et une injection de code indirecte à
distance.
De multiples vulnérabilités ont
été découvertes dans TYPO3 :
- une faille permet le contournement du mécanisme
jumpUrl, dont la fonctionnalité est de
vérifier les droits d'accès à des pages
ou des fichiers. L'exploitation de cette
vulnérabilité permet de lire tout fichier
auquel le compte ayant lancé le serveur Web a
accès ;
- une injection de code indirecte est possible via le backend de TYPO3. Il est néanmoins
nécessaire de disposer d'un compte autorisé
à se connecter au backend
pour pouvoir exploiter cette vulnérabilité
;
- une faille dans le gestionnaire d'extensions permet de
lire les fichiers auxquels le serveur Web a accès. Il
est nécessaire de disposer d'un compte
d'administrateur pour pouvoir exploiter cette
vulnérabilité ;
- la tâche be_user_creation permet de
créer des utilisateurs qui sont membres de groupes
arbitraires et par ce biais, d'élever les
privilèges. L'exploitation de cette
vulnérabilité requiert des droits de
création d'utilisateurs dans le centre de tâches
;
- un problème dans la fonction PHP
filter_var() permet la réalisation d'un
déni de service à distance lorsque la fonction
t3lib_div::validEMail() est utilisée ;
- une injection de code indirecte est possible via la
fonction RemoveXSS.
Mettre à jour TYPO3 en
version 4.2.15, 4.3.7 ou 4.4.4.
- 07 octobre 2010
- version initiale.
- 27 octobre 2010
- ajout des références CVE.
CERTA
2012-01-04
|
|
)
