Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

TYPO3 >= 6.2.0
TYPO3 <= 6.2.17 TYPO3 >= 7.6.0
TYPO3 <= 7.6.2 Betroffene Plattformen: TYPO3 Zwei Schwachstellen ermöglichen einem entfernten, nicht authentifizierten Angreifer die Ausführung beliebigen Programmcodes über eine SQL-Injection und einen Cross-Site-Scripting-Angriff mit Hilfe von Formulareingaben. Zwei weitere Schwachstellen ermöglichen einem entfernten, einfach authentifizierten Angreifer weitere Cross-Site-Scripting-Angriffe. Die Schwachstellen werden in der TYPO3 Version 6.2.18 vom Hersteller behoben. Der Cross-Site-Scripting-Angriff, der in TYPO3-CORE-SA-2016-002 beschrieben wird, betrifft auch die Programmversion 7 und wird dort in TYPO3 Version 7.6.3 behoben. Patch: TYPO3 Security Advisory TYPO3-CORE-SA-2016-001 https://typo3.org/teams/security/security-bulletins/typo3-core/typo3-core-sa-2016-001/

Patch:

TYPO3 Security Advisory TYPO3-CORE-SA-2016-002

https://typo3.org/teams/security/security-bulletins/typo3-core/typo3-core-sa-2016-002/

Patch:

TYPO3 Security Advisory TYPO3-CORE-SA-2016-003

https://typo3.org/teams/security/security-bulletins/typo3-core/typo3-core-sa-2016-003

Patch:

TYPO3 Security Advisory TYPO3-CORE-SA-2016-004

https://typo3.org/teams/security/security-bulletins/typo3-core/typo3-core-sa-2016-004/

TYPO3-CORE-SA-2016-004: Schwachstelle in TYPO3 ermöglicht
Cross-Site-Scripting-Angriff

Inhalte, die von Besuchern der Webseite über Formulare der ‘Form’-Komponente
von TYPO3 eingegeben werden, werden nicht bereinigt. Ein entfernter, nicht
authentifizierter Angreifer kann über Formulareingaben einen
Cross-Site-Scripting-Angriff ausführen.

TYPO3-CORE-SA-2016-003: Schwachstelle in TYPO3 ermöglicht
Cross-Site-Scripting-Angriff

Die Komponente ‘Legacy Form’ in TYPO3 bereinigt Inhalte nicht, die über
Editoren eingepflegt werden. Ein entfernter, einfach authentifizierter
Angreifer mit der Berechtigung, Inhaltselemente von Formularen zu
überarbeiten, kann einen Cross-Site-Scripting-Angriff ausführen.

TYPO3-CORE-SA-2016-002: Schwachstelle in TYPO3 ermöglicht
Cross-Site-Scripting-Angriff

Die Systemkomponente ‘Linkvalidator’ in TYPO3, die über fehlerhafte Links
oder fehlende Dateien in der TYPO3-Installation informiert, bereinigt
Inhalte nicht, die über Editoren eingepflegt werden. Ein entfernter, einfach
authentifizierter Angreifer mit der Berechtigung, Inhalte zu überarbeiten,
die in der Folge von ‘Linkvalidator’ gescannt werden, kann einen
Cross-Site-Scripting-Angriff ausführen.

TYPO3-CORE-SA-2016-001: Schwachstelle in TYPO3-Erweiterung ‘dbal’ ermöglicht
SQL-Injection

Bei Verwendung der TYPO3-Erweiterung ‘dbal’ im Modus ‘MySQL Passthrough’
sind alle Anfragen, die über ‘DatabaseConnection::sql_query’ in
‘core/Classes/Database/DatabaseConnection.php’ ausgeführt werden, anfällig
für eine SQL-Injektion. Dies gilt auch, wenn die Anfragen vorher über
‘DatabaseConnection::quoteStr’ bereinigt wurden. Ein entfernter, nicht
authentifizierter Angreifer kann beliebigen SQL-Programmcode ausführen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0287/

TYPO3 Security Advisory TYPO3-CORE-SA-2016-001:
https://typo3.org/teams/security/security-bulletins/typo3-core/typo3-core-sa-2016-001/

TYPO3 Security Advisory TYPO3-CORE-SA-2016-002:
https://typo3.org/teams/security/security-bulletins/typo3-core/typo3-core-sa-2016-002/

TYPO3 Security Advisory TYPO3-CORE-SA-2016-003:
https://typo3.org/teams/security/security-bulletins/typo3-core/typo3-core-sa-2016-003

TYPO3 Security Advisory TYPO3-CORE-SA-2016-004:
https://typo3.org/teams/security/security-bulletins/typo3-core/typo3-core-sa-2016-004/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.