Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Die folgenden TYPO3-Erweiterungen sind betroffen:

Kitchen recipe (mv_cooking) bis einschlieÃ?lich Version 0.4.0
Category-System (toi_category) bis einschlieÃ?lich Version 0.6.0
White Papers (mm_whtppr) bis einschlieÃ?lich Version 0.0.4
Documents download (rtg_files) bis einschlieÃ?lich Version 1.5.1
Post data records to facebook (bc_post2facebook) bis einschlieÃ?lich Version
0.2.1
System Utilities (sysutils) bis einschlieÃ?lich Version 1.0.3
Webservices for TYPO3 (typo3_webservice) bis einschlieÃ?lich Version 0.3.7
CSS styled Filelinks (css_filelinks) bis einschlieÃ?lich Version 0.2.18
Modern FAQ (irfaq) bis einschlieÃ?lich Version 1.1.2
Euro Calculator (skt_eurocalc) 0.0.1
Yet another Google search (ya_googlesearch) bis einschlieÃ?lich Version
0.3.9
Terminal PHP Shell (terminal) bis einschlieÃ?lich Version 0.3.2
BE User Switch (beuserswitch) 0.0.1
Additional TCA Forms (jftcaforms) bis einschlieÃ?lich Version 0.2.0
UrlTool (aeurltool) 0.1.0

Betroffene Plattformen:

Alle Plattformen auf denen TYPO3 lauffÀhig ist.

Mehrere Schwachstellen in TYPO3-Erweiterungen können von entfernten
Angreifern im schlimmsten Fall ausgenutzt werden um beliebigen Code mit den
Rechten der Anwendung auszufÃŒhren.

Der Hersteller gibt fÃŒr seltener genutzte Erweiterungen ein “Collective
Security Bulletin” heraus. Die Erweiterungen sind nicht Bestandteil der
Default-Installation.

CVE TYPO3-EXT-SA-2012-001: Mehrere Schwachstellen in TYPO3-Erweiterungen

Die folgenden TYPO3-Erweiterungen enthalten bislang nicht nÀher beschriebene
Schwachstellen, fÃŒr die z.T. Exploits verfÃŒgbar sind: Kitchen recipe
(mv_cooking), Category-System (toi_category), White Papers (mm_whtppr),
Documents download (rtg_files), Post data records to facebook
(bc_post2facebook), System Utilities (sysutils), Webservices for TYPO3
(typo3_webservice), CSS styled Filelinks (css_filelinks), Modern FAQ
(irfaq), Euro Calculator (skt_eurocalc), Yet another Google search
(ya_googlesearch), Terminal PHP Shell (terminal), BE User Switch
(beuserswitch), Additional TCA Forms (jftcaforms), UrlTool (aeurltool). Im
schlimmsten Fall ermöglichen diese einem entfernten Angreifer das AusfÌhren
beliebigen Codes mit den Rechten der Anwendung.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-0194/

Das Hersteller Advisory:
http://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2012-001/

(c) DFN-CERT Services GmbH
Die nicht kommerzielle Weiterverbreitung ist mit Hinweis auf den
Copyrightinhaber erlaubt.