CVE-2024-25121
Təsvir
TYPO3, GNU GPL altında buraxılmış açıq mənbəli PHP əsaslı veb məzmun idarəetmə sistemidir. TYPO3-ün təsirlənmiş versiyalarında File Abstraction Layer (FAL) obyektləri `DataHandler` vasitəsilə birbaşa saxlanıla bilərdi. Bu, hücumçulara ehtiyat yaddaşdakı (fallback storage) fayllara birbaşa istinad etməyə və onların adlarını və məzmunlarını əldə etməyə imkan verirdi. Ehtiyat yaddaş ("zero-storage"), düzgün konfiqurasiya edilmiş fayl yaddaşlarının xaricində və ictimai veb kök kataloqunda yerləşən fayllar üçün geri uyğunluq layı kimi istifadə olunur. Bu zəifliyin istismarı üçün etibarlı backend istifadəçi hesabı tələb olunur. İstifadəçilərə təsvir olunan problemi aradan qaldıran TYPO3 versiya 8.7.57 ELTS, 9.5.46 ELTS, 10.4.43 ELTS, 11.5.35 LTS, 12.4.11 LTS və ya 13.0.1 versiyalarına yeniləmək tövsiyə olunur. File Abstraction Layer obyektləri `DataHandler` vasitəsilə birbaşa saxlanılarkən, artıq `sys_file` obyektlərinə standart olaraq icazə verilmir, həmçinin `sys_file_reference` və `sys_file_metadata` obyektlərinin ehtiyat yaddaşdakı fayllara istinad etməsinə daha icazə verilmir. Təhlükəsiz mənbələrdən məlumat idxal edilərkən, bu, müvafiq DataHandler instansiyasında `$dataHandler->isImporting = true;` istifadə edilərək açıq şəkildə aktivləşdirilməlidir.
Necə düzəltmək olar
- typo3 typo38.7.57, 9.5.46, 10.4.43, 11.5.35, 12.4.11 və ya daha yeni versiya
- typo3/cms-core8.7.57, 9.5.46, 10.4.43, 11.5.35, 12.4.11, 13.0.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| typo3 typo3 | 8.0.0 ≤ v < 8.7.57, 9.0.0 ≤ v < 9.5.46, 10.0.0 ≤ v < 10.4.43, 11.0.0 ≤ v < 11.5.35, 12.0.0 ≤ v < 12.4.11, 13.0.0 | 8.7.57, 9.5.46, 10.4.43, 11.5.35, 12.4.11 |
| typo3/cms-corePackagist | 8.0.0 ≤ v < 8.7.57, 9.0.0 ≤ v < 9.5.46, 10.0.0 ≤ v < 10.4.43, 11.0.0 ≤ v < 11.5.35, 12.0.0 ≤ v < 12.4.11, 13.0.0 ≤ v < 13.0.1 | 8.7.57, 9.5.46, 10.4.43, 11.5.35, 12.4.11, 13.0.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.