27. Juli 2011

Securityrelease für TYPO3 4-3, 4-4, 4-5

in Bugs, Releases, Security, TYPO3

Gerade wurde die Veröffentlichung von 4.3.12, 4.4.9 und 4.5.4 bekannt gegeben. Alle Details gibt es auf typo3.org. Es handelt sich dabei sowohl um Lücken für das Frontend, als auch das Backend. Ein Update ist wie immer absolut empfehlenswert!

Frontent

  • XSS über den Parameter JSwindow von typolink.
Backend
  • Information Disclosure beim Backend-Login
  • Vermeidung der 5 Sekunden Sperre bei falschen Logindaten
  • XSS im Adminpanel
  • XSS im browse_links Popup
  • XSS im Recycler
  • XSS in den Flashmessages
  • Information Disclosure im Workspace-Modul
  • Information Disclosure durch css_styled_content
  • Sicherheitslücke im Handling von serialize/unserialize
  • Fehlerhafte Funktion removeXSS
  • Fehlende Checks in der ExtDirect-API
Vielen Dank an alle, die die Issues reporten, bearbeiten, lösen, testen und an der Realisierung eines sicheren TYPO3 teilhaben.

2 Reaktionen zu “Securityrelease für TYPO3 4-3, 4-4, 4-5”

Kommentare abonnieren (RSS) oder TrackBack URL

Gibt es irgendwelche Infos, ob die Cross-Site Scripting Lücke im Frontend bereits in the wild ausgenutzt wird?

Peter Kraume am 27. Juli 2011 um 14:06

für das gibts das CVSS v2.0 > http://jvnrss.ise.chuo-u.ac.jp/jtg/cvss/cvss2.cgi?vector=%28AV:N/AC:M/Au:N/C:N/I:P/A:N/E:U/RL:OF/RC:C%29&g=2&lang=en > Unproven that an exploit exists. Das heißt aber natürlich nicht, dass es nicht so ist.

—
Security Team

Georg Ringer am 27. Juli 2011 um 14:30

Kategorien

Archiv