UPDATE: DFN-CERT-2013-2071 Typo3: Mehrere Schwachstellen ermöglichen Cross-Site-Scripting Angriffe [Linux][Debian]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (02.01.2014):
Es sind Sicherheitsupdates für die Distributionen Debian Squeeze, Wheezy
und Jessi erschienen, welche die relevanten Schwachstellen (nur
CVE-2013-7077 gehört nicht dazu) fixen.
Version 1 (13.12.2013):
Neues Advisory

Betroffene Software:

Typo3 <= 4.5.31 Typo3 <= 4.7.16 Typo3 <= 6.0.11 Typo3 <= 6.1.6 Typo3 <= 6.2.0 Beta3 Betroffene Plattformen: Debian Linux 6.0.8 Squeeze Debian Linux 7.3 Wheezy Debian Linux 8.0 Jessie Ein entfernter Angreifer kann diese Schwachstellen ausnutzen, um Cross-Site-Scripting Angriffe durchzuführen. Update: Es sind Patche für die betroffenen Schwachstellen in den Distributionen Debian Squeeze, Wheezy und Jessi erschienen. Patch: TYPO3 Security Advisory TYPO3-CORE-SA-2013-004 http://typo3.org/teams/security/security-bulletins/typo3-core/typo3-core-sa-2013-004/

Patch:

Debian Security Advisory DSA-2834

http://www.debian.org/security/2014/dsa-2834

CVE-2013-7081: Schwachstelle im veralteten Form Content Element in TYPO3

Editoren mit Zugriff auf das veralteten Form Content Element in TYPO3 können
beliebige HMAC-Signaturen erzeugen, welche in anderen Kontexten verwendet
werden können. Dies ermöglicht einem entfernten Angreifer mit Editor-Rechten
lesenden Zugriff auf beliebige Informationen zu erlangen.

CVE-2013-7080: Schwachstelle in der TYPO3 Erweiterung der
Tabellenadministrationsbibliothek

Aufgrund eines Fehlers in der Bibliothek ‘feuser_adminLib.inc’ in TYPO3 ist
es in TYPO3 Erweiterungen, die diese Bibliothek verwenden, möglich
Massenzuweisungen durchzuführen. Dies ermöglicht einem entfernten Angreifer
beliebige Felder in der Datenbank zu überschreiben.

CVE-2013-7079: Schwachstelle in der OpenID Erweiterung von TYPO3

In der OpenID Erweiterung von TYPO3 werden Benutzereingaben nicht fehlerfrei
validiert. Dies ermöglicht einem entfernten Angreifer Weiterleitungen auf
beliebige URLs herbeizuführen. Voraussetzung dafür ist, dass die OpenID
Erweiterung installiert ist.

CVE-2013-7078: Cross-Site-Scripting Schwachstelle in TYPO3

In TYPO3 kodiert die Methode errorAction() der ActionController-Klasse in
der Extbase-Subkomponente Fehlermeldungen nicht fehlerfrei. Da diese
Fehlermeldungen Benutzereingaben enthalten können, ist es einem entfernten
Angreifer möglich, beliebige HTML- und Script-Befehle im Kontext eines
anderes Benutzers zur Ausführung zu bringen. Voraussetzung dafür ist, dass
Extbase installiert ist und als Plugin oder Modul verfügbar ist, dass das
Plugin oder Modul den “Rewritten Property Mapper” aktiviert hat und dass die
betroffene Methode nicht durch eine Subklasse in der Weise modifiziert
wurde, dass die Fehlermeldungen nicht mehr zurückgegeben werden.

CVE-2013-7077: Schwachstelle in der Backend User Administration in TYPO3

Die Backend User Administration in TYPO3 kodiert Benutzereingaben nicht
fehlerfrei. Dies ermöglicht einem entfernten Angreifer beliebige HTML- und
Script-Befehle im Kontext eines anderen Benutzers zur Ausführung zu bringen.

CVE-2013-7076: Cross-Site-Scripting Schwachstelle im Extension Manager von
TYPO3

Der Extension Manager in TYPO3 versäumt es bestimmte Benutzereingaben
fehlerfrei zu kodieren. Dies ermöglicht einem entfernten, nicht
authentifizierten Angreifer beliebige HTML- und Script-Befehle im Kontext
eines anderen Benutzers zur Ausführung zu bringen.

CVE-2013-7075: Schwachstelle in TYPO3

Im Content Editing Wizards in TYPO3 wird zu einem bestimmten
Eingabeparameter keine Signatur erstellt. Dies ermöglicht einem entfernten
Angreifer durch das Deserialisieren beliebiger Objekte in TYPO3 unerlaubt
Daten auf dem System zu schreiben. Voraussetzung dafür ist, dass der
Angreifer sich auf dem Backend einloggt oder einen
Cross-Site-Request-Forgery Angriff erfolgreich durchführt.

CVE-2013-7074: Cross-Site-Scripting Schwachstelle in TYPO3

Mehrere Content Wizards in TYPO3 kodieren Benutzerdaten nicht fehlerfrei.
Dies ermöglicht einem entfernten, authentifizierten Angreifer mit
Editor-Privilegien durch das Modifizieren von URL-Parametern, beliebige
HTML- und Script-Befehle in eine Seite einzuschleusen.

CVE-2013-7073: Schwachstelle TYPO3 Content Editing Wizards

Der Content Editing Wizards in TYPO3 versäumt es die Benutzerberechtigungen
zu überprüfen. Dies ermöglicht einem entfernten, authentifizierten Angreifer
mit Editor-Privilegien durch das Fälschen von URL-Parametern beliebige
Tabellenspalten in TYPO3 zu lesen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2013-2071/

Schwachstelle CVE-2013-7073 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7073

TYPO3 Security Advisory TYPO3-CORE-SA-2013-004:
http://typo3.org/teams/security/security-bulletins/typo3-core/typo3-core-sa-2013-004/

Schwachstelle CVE-2013-7074 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7074

Schwachstelle CVE-2013-7075 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7075

Schwachstelle CVE-2013-7076 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7076

Schwachstelle CVE-2013-7077 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7077

Schwachstelle CVE-2013-7078 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7078

Schwachstelle CVE-2013-7079 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7079

Schwachstelle CVE-2013-7080 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7080

Schwachstelle CVE-2013-7081 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-7081