Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

TYPO3 Extension

Betroffene Plattformen:

GNU/Linux
Microsoft Windows

Mehrere Schwachstellen in den TYPO3-Erweiterungen ‘Caretaker’, ‘JobControl’,
‘DRC News Comment’ und ‘Smallads’ ermöglichen einem entfernten, nicht
authentisierten Angreifer die Ausführung von Cross-Site-Scripting
(XSS)-Angriffen. Zwei Schwachstellen in den Erweiterungen ‘JobControl’ und
‘Download Center’ ermöglichen dem Angreifer SQL-Injektions-Angriffe und
damit das Ausspähen von Informationen und die Manipulation von Daten der
Datenbank. Durch eine weitere Schwachstelle in der Erweiterung ‘DRC News
Comment’ kann der Angreifer beliebigen Programmcode zur Ausführung bringen
und eine Schwachstelle in der Erweiterung ‘Frontend User Registration’
ermöglicht dem Angreifer die einfache Übernahme der Kontrolle über
Frontend-Benutzerkonten.

Für die als kritisch eingestufte Schwachstelle in der Erweiterung JobControl
(dmmjobcontrol) gibt es kein Sicherheitsupdate, da diese Erweiterung nicht
mehr weiterentwickelt wird. TYPO3 hat die Erweiterung dementsprechend
bereits aus der Erweiterungsdatenbank gelöscht und rät allen Nutzern dazu,
die Erweiterung sofort zu deinstallieren. Für die übrigen Erweiterungen
stehen Sicherheitsupdates zur Behebung der jeweiligen Schwachstellen zur
Verfügung. Weitere Informationen zu den betroffenen Versionen und den
jeweiligen Patches befinden sich in den Referenzen.

Patch:

TYPO3-Erweiterung ‘caretaker’ 0.8.1 Download

https://extensions.typo3.org/extension/download/caretaker/0.8.1/zip/

Patch:

TYPO3-Erweiterung ‘ke_smallads’ 1.3.3 Download

https://extensions.typo3.org/extension/download/ke_smallads/1.3.3/zip/

Patch:

TYPO3-Erweiterung ‘news_comment’ 1.0.8 Download

https://typo3.org/extensions/repository/download/news_comment/1.0.8/zip/

Patch:

TYPO3-Erweiterung ‘pits_downloadcenter’ 1.0.4 Download

https://typo3.org/extensions/repository/download/pits_downloadcenter/1.0.4/zip/

Patch:

TYPO3-Erweiterung ‘sf_register’ 8.8.1 Download

https://extensions.typo3.org/extension/download/sf_register/8.8.1/zip/

TYPO3-EXT-SA-2017-020: Schwachstelle in TYPO3-Erweiterung Caretaker
ermöglicht Cross-Site-Scripting-Angriff

In der TYPO3-Erweiterung Caretaker (caretaker) existiert eine Schwachstelle
aufgrund ungenügender Bereinigung von Benutzereingaben. Dies ermöglicht
einem entfernten, nicht authentisierten Angreifer die Ausführung eines
Cross-Site-Scripting (XSS)-Angriffes.

TYPO3-EXT-SA-2017-019: Schwachstellen in TYPO3-Erweiterung JobControl
ermöglichen u.a. SQL-Injektions-Angriff

In der TYPO3-Erweiterung JobControl (dmmjobcontrol) existieren zwei
Schwachstellen aufgrund der fehlerhaften Bereinigung von Benutzereingaben.
Diese ermöglichen einem entfernten, nicht authentisierten Angreifer die
Injektion beliebiger SQL-Kommandos sowie die Durchführung eines
Cross-Site-Scritping (XSS)-Angriffes.

TYPO3-EXT-SA-2017-018: Schwachstellen in TYPO3-Erweiterung DRC News Comment
ermöglichen u.a. Ausführung beliebigen Programmcodes

In der TYPO3-Erweiterung DRC News Comment (news_comment) existieren zwei
Schwachstellen aufgrund der fehlerhaften Bereinigung von Benutzereingaben.
Diese ermöglichen einem entfernten, nicht authentisierten Angreifer die
Ausführung beliebigen Programmcodes sowie die Durchführung eines
Cross-Site-Scritping (XSS)-Angriffes.

TYPO3-EXT-SA-2017-017: Schwachstelle in TYPO3-Erweiterung Frontend User
Registration ermöglicht u.a. Umgehen von Sicherheitsvorkehrungen

In der TYPO3-Erweiterung Frontend User Registration (sf_register) existiert
Schwachstelle, da der Authentifizierungsmechanismus umgangen werden kann.
Ein entfernter, nicht authentisierter Angreifer, der den Benutzernamen eines
Frontend-Benutzers der betroffenen TYPO3-Anwendung kennt, kann sich dadurch
als dieser Benutzer anmelden.

TYPO3-EXT-SA-2017-016: Schwachstelle in TYPO3-Erweiterung Download Center
ermöglicht SQL-Injektions-Angriff

In der TYPO3-Erweiterung Download Center (pits_downloadcenter) existiert
eine Schwachstelle aufgrund ungenügender Bereinigung von Benutzereingaben.
Dies ermöglicht einem entfernten, nicht authentisierten Angreifer die
Injektion beliebiger SQL-Kommandos und damit das Ausspähen von Informationen
und die Manipulation der Datenbank.

TYPO3-EXT-SA-2017-015: Schwachstelle in TYPO3-Erweiterung Smallads
ermöglicht Cross-Site-Scripting-Angriff

In der TYPO3-Erweiterung Smallads (ke_smallads) existiert eine Schwachstelle
aufgrund ungenügender Kodierung von Benutzereingaben, die als HTML-Ausgabe
verwendet werden. Dies ermöglicht einem entfernten, nicht authentisierten
Angreifer die Ausführung eines Cross-Site-Scripting (XSS)-Angriffes.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2302/

TYPO3-Erweiterung ‘caretaker’ 0.8.1 Download:
https://extensions.typo3.org/extension/download/caretaker/0.8.1/zip/

TYPO3-Erweiterung ‘ke_smallads’ 1.3.3 Download:
https://extensions.typo3.org/extension/download/ke_smallads/1.3.3/zip/

TYPO3-Erweiterung ‘news_comment’ 1.0.8 Download:
https://typo3.org/extensions/repository/download/news_comment/1.0.8/zip/

TYPO3-Erweiterung ‘pits_downloadcenter’ 1.0.4 Download:
https://typo3.org/extensions/repository/download/pits_downloadcenter/1.0.4/zip/

TYPO3-Erweiterung ‘sf_register’ 8.8.1 Download:
https://extensions.typo3.org/extension/download/sf_register/8.8.1/zip/

TYPO3-EXT-SA-2017-015: Cross Site-Scripting in extension ‘Smallads’
(ke_smallads):
https://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2017-015/

TYPO3-EXT-SA-2017-016: SQL Injection in extension ‘Download Center’
(pits_downloadcenter):
https://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2017-016/

TYPO3-EXT-SA-2017-017: Authentication Bypass in extension ‘Frontend User
Registration’ (sf_register):
https://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2017-017

TYPO3-EXT-SA-2017-018: Multiple vulnerabilities in extension ‘DRC News
Comment’ (news_comment):
https://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2017-018

TYPO3-EXT-SA-2017-019: Multiple vulnerabilities in extension ‘JobControl’
(dmmjobcontrol):
https://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2017-019

TYPO3-EXT-SA-2017-020: Cross Site-Scripting in extension ‘Caretaker’
(caretaker):
https://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2017-020/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.