—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
Liebe Kolleginnen und Kollegen,
soeben erreichte uns nachfolgende Warnung. Wir geben diese Informationen
unveraendert an Sie weiter.
#24497 – Cross-site Scripting Schwachstelle im TYPO3 Backend
Im “browse_links”-Assistenten vom TYPO3 Backend wird das Link-Attribut
von Content Elementen nicht ausreichend bereinigt. Ein entfernter,
authentifizierter Angreifer kann durch Anlegen eines praeparierten
Content Elements die Ausfuehrung von Skript- bzw. HTML-Code im Browser
eines Benutzers ausloesen, falls dieser das Element im
“browse_links”-Assistenten betrachtet.
#24535 – Cross-site Scripting Schwachstelle im TYPO3 Backend
Der Seitentitel in “tcemain flash messages” ist verwundbar bezueglich
Cross-site Scripting. Ein entfernter, authentifizierter Angreifer kann
dies ausnutzen, um mittels einer praeparierten Seite Skript- oder
HTML-Code bei anderen Benutzern auszufuehren, falls diese die angelegte
Seite kopieren oder verschieben.
#24519 – Cross-site Scripting Schwachstelle im System Extension Recycler
von TYPO3
Der System Extension Recycler im TYPO3 Backend wird der Seitentitel
nicht korrekt gefiltert. Mithilfe einer praeparierten Seite und einer
geloeschten Seite kann ein entfernter, authentifizierter Angreifer
Script- bzw. HTML-Code im Browser anderer Benutzer zur Ausfuehrung
bringen, falls diese den System Extension Recycler betrachten.
#24456 – Schwachstelle im Login-Backend von TYPO3
Das TYPO3 Backend sendet bei Authentifizierungsversuchen verschiedene
HTTP-Header, je nachdem, ob der angegebene Benutzername oder das
Passwort falsch ist. Ein entfernter Angreifer kann dies ausnutzen, um
mittels ausprobieren gueltige Benutzernamen zu finden.
#24577 – Schwachstelle in TYPO3
Im TYPO3 Backend werden spezielle Eingaben von BE Editoren als
serialisierte Daten angesehen, welche daher von TYPO3 deserialisiert
werden. Dies hat zur Folge, dass Angreifer mit den noetigen Rechten
beliebige Dateien mit den Rechten des Webservers loeschen koennen.
#20775 – Schwachstelle in der TYPO3 API
In der TYPO3 API verhindert die Funktion RemoveXSS nicht ausreichend
eine Cross-site Scripting Schwachstelle, die im Internet Explorer 6
ausgenutzt werden kann.
#24457 – Schwachstelle im Login-Backend von TYPO3
Im TYPO3 Backend werden bei fehlgeschlagenen Loginversuchen erneute
Anfragen erst nach einer Verzoegerung zugelassen. Aufgrund eines Fehler
koennen entfernte Angreifer mithilfe einer praeparierten Anfrage diese
Massnahme umgehen.
#27414 – Fehler im Rechtemanagement von TYPO3
Benutzer im TYPO3 Backend mit Editor-Rechten koennen Aenderungen von
Eintraegen in jeder Sprache einsehen, auch wenn sie fuer die jeweilige
Sprache nicht ueber die noetigen Rechte verfuegen.
#26876 – Schwachstelle im TYPO3 Backend
In der TYPO3 Systemerweiterung “css_styled_content” besteht eine
unsichere Konfiguration. Ein unprivilegierter, authentifizierter
Angreifer kann mithilfe des Features “getText” bei Ueberschriften von
Content Elementen beliebige Daten aus der TYPO3 Datenbank auslesen.
#28189 – Cross-site Scripting Schwachstelle im TYPO3 Frontend
Im TYPO3 Frontend wird das Attribut JSwindow der TYPO-Script Funktion
typolink() nicht korrekt um Skript- oder HTML-Code bereinigt. Ein
entfernter Angreifer kann dies ausnutzen, um mittels einer praeparierten
URL, Skript- oder HTML-Code im Browser von Besuchern der URL
auszufuehren.
#21589 – Cross-site Scripting Schwachstelle im TYPO3 Adminpanel
Im TYPO3 Backend werden im Adminpanel angezeigte Benutzernamen nicht um
moeglichen Skript- oder HTML-Code bereinigt. Durch praeparierte
Benutzernamen kann ein entfernter, authentifizierter Angreifer HTML-
oder Skript-Code im Browser anderer Benutzer ausfuehren.
#25307 – Schwachstelle in der TYPO3 API
ExtDirect Endpunkte der TYPO3 API sind funktional nicht mit den
Backendmodulen verknuepft, sodass die Rechteverwaltung von TYPO3 nicht
auf ExtDirect Anfragen angewendet wird. Ein entfernter Angreifer mit der
Rolle “BE user” kann daher jegliche ExtDirect Dienste nutzen.
Betroffen sind die folgenden Software Pakete und Plattformen:
TYPO3 Version 4.3.11 und frueher, Version 4.4.8 und frueher, Version
4.5.3 und frueher
Alle Systeme auf denen TYPO3 betrieben werden kann.
Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.
(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.
Mit freundlichen Gruessen,
Matthias Braeck
– —
Matthias Braeck (Incident Response Team)
DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-590
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski
Automatische Warnmeldungen: https://www.cert.dfn.de/autowarn
TYPO3 Security Bulletin TYPO3-CORE-SA-2011-001: Multiple vulnerabilities in TYPO3 Core
Component Type: TYPO3 Core
Affected Versions: 4.3.11 and below, 4.4.8 and below, 4.5.3 and below
Vulnerability Types: Cross-Site Scripting (XSS), Information Disclosure, Authentication Delay Bypass, Unserialize() vulnerability, Missing Access Control
Overall Severity: High
Release Date: July 27, 2011
Vulnerable subcomponent #1: Frontend
Vulnerability Type: Cross-Site Scripting
Severity: High
Suggested CVSS v2.0: AV:N/AC:M/Au:N/C:N/I:P/A:N/E:U/RL:OF/RC:C (What’s that?)
Problem Description: Failing to properly sanitize URL parameters the “JSwindow” property of the typolink function is susceptible to Cross-Site Scripting. The problem does not exist if the third party extension “realurl” is used and it’s configuration parameter “doNotRawUrlEncodeParameterNames” is set to FALSE (default).
Solution: Update to the TYPO3 versions 4.3.12, 4.4.9 or 4.5.4 that fix the problem described.
Credits: Credits go to Marco Bresch who discovered and reported the issue.
Vulnerable subcomponent #2: Backend
Vulnerability Type: Information Disclosure
Severity: Low
Suggested CVSS v2.0: AV:N/AC:M/Au:N/C:P/I:N/A:N/E:U/RL:OF/RC:C (What’s that?)
Problem Description: For authentication attempts with wrong credentials, TYPO3 sends different HTTP-Headers depending if provided username or provided password is wrong.
Solution: Update to the TYPO3 versions 4.3.12, 4.4.9 or 4.5.4 that fix the problem described.
Credits: Credits go to Sebastian Schinzel who discovered and reported the issue.
Vulnerability Type: Authentication Delay Bypass
Severity: Low
Suggested CVSS v2.0: AV:N/AC:M/Au:N/C:P/I:N/A:N/E:U/RL:OF/RC:C (What’s that?)
Problem Description: The TYPO3 Backend login has a delay for authentication attempts with wrong credentials. By using a crafted request, an attacker is able to bypass the madantory delay in such cases.
Solution: Update to the TYPO3 versions 4.3.12, 4.4.9 or 4.5.4 that fix the problem described.
Credits: Credits go to Sebastian Schinzel who discovered and reported the issue.
Vulnerability Type: Cross-Site Scripting
Severity: Medium
Suggested CVSS v2.0: AV:N/AC:L/Au:S/C:N/I:P/A:N/E:U/RL:OF/RC:C (What’s that?)
Problem Description: Failing to properly sanitize an username the admin panel is susceptible to Cross-Site Scripting.
Solution: Update to the TYPO3 versions 4.3.12, 4.4.9 or 4.5.4 that fix the problem described.
Credits: Credits go to TYPO3 Security Team member Georg Ringer who discovered and reported the issue.
Vulnerability Type: Cross-Site Scripting
Severity: Medium
Suggested CVSS v2.0: AV:N/AC:H/Au:S/C:P/I:P/A:N/E:U/RL:OF/RC:C (What’s that?)
Problem Description: Failing to properly sanitize a content element’s link attribute the browse_links wizard is susceptible to Cross-Site Scripting. Exploiting requires an attacker to prepare a content element and trick its victim to open the browse_links wizard for this record.
Solution: Update to the TYPO3 versions 4.3.12, 4.4.9 or 4.5.4 that fix the problem described.
Credits: Credits go to TYPO3 Security Team member Georg Ringer who discovered and reported the issue.
Vulnerability Type: Cross-Site Scripting
Severity: Medium
Suggested CVSS v2.0: AV:N/AC:H/Au:S/C:P/I:P/A:N/E:U/RL:OF/RC:C (What’s that?)
Problem Description: Failing to properly sanitize a page title the system extension recycler is susceptible to Cross-Site Scripting. Exploiting requires an attacker to prepare a page and deleted page and trick its victim to visit the recycler.
Solution: Update to the TYPO3 versions 4.3.12, 4.4.9 or 4.5.4 that fix the problem described.
Credits: Credits go to TYPO3 Core Team member Steffen Gebert who discovered and reported the issue.
Vulnerability Type: Cross-Site Scripting
Severity: Medium
Suggested CVSS v2.0: AV:N/AC:H/Au:S/C:P/I:P/A:N/E:U/RL:OF/RC:C (What’s that?)
Problem Description: Failing to properly sanitize a page title the tcemain flash message is susceptible to Cross-Site Scripting. Exploiting requires an attacker to prepare a page and trick its victim to copy/move the prepared page.
Solution: Update to the TYPO3 versions 4.3.12, 4.4.9 or 4.5.4 that fix the problem described.
Credits: Credits go to TYPO3 Security Team member Georg Ringer who discovered and reported the issue.
Vulnerability Type: Information Disclosure
Severity: Medium
Suggested CVSS v2.0: AV:N/AC:L/Au:S/C:P/I:N/A:N/E:U/RL:OF/RC:C (What’s that?)
Problem Description: A TYPO3 Backend user (editor) is able to see workspace changes of records in any languages – even for those he hasn’t got granted access to.
Solution: Update to the TYPO3 versions 4.5.4 that fix the problem described.
Credits: Credits go to TYPO3 Workspaces Team member Michael Klapperer who discovered and reported the issue.
Vulnerability Type: Information Disclosure
Severity: High
Suggested CVSS v2.0: AV:N/AC:L/Au:S/C:C/I:P/A:N/E:U/RL:OF/RC:C (What’s that?)
Problem Description: Using “getText” feature on headlines of content elements it is possible to retrieve arbitrary data from TYPO3 database. The vulnerability results from an insecure configuration in css_styled_content system extension.
Solution: Update to the TYPO3 versions 4.3.12, 4.4.9 or 4.5.4 that fix the problem described.
Important Note: Having an adjusted fontTag property in the provided TypoScript (e.g. lib.stdheader.10.1.fontTag) or depending on headlines passed through fontTag might result in unexpected rendering results. Headline rendering is now handled through dataWrap (e.g. lib.stdheader.10.1.dataWrap). Make sure to check your TypoScript before the update and check the wesite rendering after it!
Credits: Credits go to Mads Chr. Olesen who discovered and reported the issue.
Vulnerability Type: Unserialize() vulnerability
Severity: High
Suggested CVSS v2.0: AV:N/AC:M/Au:S/C:P/I:C/A:N/E:U/RL:OF/RC:C (What’s that?)
Problem Description: Special user input of BE editors is treated as serialized data and is deserialized by TYPO3. This allows BE editors to delete any arbitrary file the webserver has access to.
Solution: Update to the TYPO3 versions 4.3.12, 4.4.9 or 4.5.4 that fix the problem described.
Credits: Credits go to TYPO3 Security Team member Marcus Krause who discovered and reported the issue.
Vulnerable subcomponent #3: Exposed API
Vulnerability Type: Cross-Site Scripting
Severity: Medium
Suggested CVSS v2.0: AV:N/AC:M/Au:N/C:P/I:P/A:N/E:U/RL:OF/RC:C (What’s that?)
Problem Description: The RemoveXSS function fails to sanitize an attack vector that works in Internet Explorer version 6.
Solution: Update to the TYPO3 versions 4.3.12, 4.4.9 or 4.5.4 that fix the problem described.
Credits: Credits go to Vladimir Podkovanov who discovered and reported the issue.
Vulnerability Type: Missing Access Control
Severity: High
Suggested CVSS v2.0: AV:N/AC:M/Au:S/C:P/I:P/A:N/E:U/RL:OF/RC:C (What’s that?)
Problem Description: ExtDirect endpoints are not associated with TYPO3 backend modules and such TYPO3 access control is not applied on ExtDirect calls. This allows arbitrary BE users to consume any available ExtDirect endpoint service.
Solution: Update to the TYPO3 versions 4.4.9 or 4.5.4 that fix the problem described.
Note: From now on ExtDirect components need to be registered through t3lib_extMgm::registerExtDirectComponent() function call.
Credits: Credits go to TYPO3 Security Team member Helmut Hummel who discovered and reported the issue.
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v2.0.16 (GNU/Linux)
iQEcBAEBAgAGBQJOMUFSAAoJEJtyb8U7iGZBkngIAIE+C9yeVkUjSNwDrw6vieSY
OA5KydS0HS1AjQnu8slgchyqa+/q8uqbqGYgIVjOhYLaCYrbehF/QEjwhXyp1gqg
j4DFZw9DQhJUVNXpLtovuJCG5rAhnS/myUKMk/AWOhg1xbzIMTB2qjXD8aWiAeum
oEeQ/9kvnR19lWXT22hoAfDnInMQSYFekQ2oEimgQIjKZHzZGsLftuWLTkBRvyl+
2U0xiLeaBZRPmzYif9xxlOrw4IMpWh2WyKVJk7pfBHS1MKShbtPXFaj8Dl1BDHu8
qkAWeEYKVhh+LgumyerNlXcsXuJC8FnOFR4+1PZ1jfLwY70PW295XDBOd1KI1RU=
=0bMu
—–END PGP SIGNATURE—–
