S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 13 juin 2008
N° CERTA-2008-AVI-311
Affaire suivie par: CERT-FR
le 13 juin 2008

Avis du CERT-FR

Objet: Vulnérabilités dans TYPO3

Gestion du document

Référence CERTA-2008-AVI-311
Titre Vulnérabilités dans TYPO3
Date de la première version 13 juin 2008
Date de la dernière version 13 juin 2008
Source(s) Bulletin de sécurité TYPO320080611-1 du 11 juin 2008
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance ;
  • injection de code indirecte (cross-site scripting).

Systèmes affectés

  • TYPO3 versions 3.x ;
  • TYPO3 versions 4.0 à 4.0.8 ;
  • TYPO3 versions 4.1 à 4.1.6 ;
  • TYPO3 version 4.2.0.

Résumé

Deux vulnérabilités dans TYPO3 permettent l'exécution de code arbitraire à distance et la réalisation d'attaques de type cross-site scripting.

Description

Deux vulnérabilités ont été découvertes dans TYPO3 :

  • la valeur par défaut de la variable fileDenyPattern (liée configuration TYPO3) permet à des utilisateurs authentifiés de télécharger sur le serveur Apache des fichiers de configuration (.htaccess). De plus, si le module mod_mime est activé sur le serveur Apache, les utilisateurs authentifiés peuvent installer ou créer des fichiers contenant du code PHP ;
  • les données traitées par le fichier fe_adminlib.inc ne sont pas correctement filtrées. Cette vulnérabilité peut être exploitée pour réaliser des attaques de type cross-site scripting.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 13 juin 2008
    version initiale.