CVE-2020-11069

TYPO3 CMS 9.0.0-dan 9.5.16-ya və 10.0.0-dan 10.4.1-ə qədər olan versiyalarda backend istifadəçi interfeysinin və quraşdırma alətinin (install tool) "same-site request forgery" zəifliyinə malik olduğu aşkar edilmişdir. Backend istifadəçisi, hücumçunun əvvəllər veb serverə yükləməyi bacardığı zərərli resursla qarşılıqlı əlaqə qurmağa sövq edilə bilər. Daha sonra skriptlər qurbanın istifadəçi sessiyasının imtiyazları ilə icra edilir. Ən pis ssenaridə, hücumçu tərəfindən birbaşa istifadə edilə biləcək yeni admin istifadəçiləri yaradıla bilər. Bu zəiflik əslində saytlararası skriptinq (XSS) vasitəsilə tetiklənən cross-site request forgery (CSRF)-dir, lakin hədəf host eyni olduğu üçün bu, faktiki olaraq "same-site request forgery"-dir. JavaScript ehtiva edən HTML kimi zərərli fayllar ya autentifikasiya olunmuş backend istifadəçisi, ya da üçüncü tərəf genişlənmələrindən (məsələn, hədəf yeri məlum olan əlaqə formasındakı fayl yükləmə funksiyası) istifadə edən autentifikasiya olunmamış istifadəçi tərəfindən təmin edilə bilər. Hücumun uğurlu olması üçün qurbanın hücum zamanı aktiv və etibarlı backend və ya quraşdırma aləti istifadəçi sessiyasına malik olması lazımdır. Bu problem 9.5.17 və 10.4.2 versiyalarında düzəldilmişdir. Aşağıda təsvir olunan əlavə yumşaltma texnikalarının tətbiqi tövsiyə olunur. - Sudo Mode Extension: Bu TYPO3 genişlənməsi təhlükəsizlik baxımından vacib olan verilənlər bazası cədvəllərinə (məsələn, istifadəçi hesablarını və ya fayl abstraksiya layının yaddaş sahələrini saxlayan cədvəllərə) gətirilən dəyişiklikləri tutur. Dəyişikliklər həyata keçirən istifadəçi tərəfindən şifrənin yenidən daxil edilməsi ilə təsdiqlənməlidir. Bu texnika "sudo mode" kimi tanınır. Bu yolla arxa planda baş verən qeyri-iradi hərəkətlərin təsiri azaldıla bilər. - https://github.com/FriendsOfTYPO3/sudo-mode - https://extensions.typo3.org/extension/sudo_mode - Content Security Policy: Content Security Policies (Məzmun Təhlükəsizliyi Siyasətləri) müasir brauzerlərə konkret sayt tərəfindən təqdim olunan resursların necə idarə olunacağını bildirir. Müəyyən yerlər üçün skriptlərin icrasını qadağan etmək də mümkündür. TYPO3 kontekstində, ən azı /fileadmin/ və /uploads/ ünvanlarında birbaşa skript icrasının qadağan edilməsi tövsiyə olunur.