CVE-2020-11069

TYPO3 CMS 9.0.0 ile 9.5.16 ve 10.0.0 ile 10.4.1 sürümleri arasında, arka uç kullanıcı arayüzünün ve kurulum aracının bir aynı site istek sahteciliğine (same-site request forgery) karşı savunmasız olduğu keşfedilmiştir. Bir arka uç kullanıcısı, saldırganın daha önce web sunucusuna yüklemeyi başardığı kötü amaçlı bir kaynakla etkileşime girmesi için kandırılabilir. Ardından betikler, kurbanın kullanıcı oturumu ayrıcalıklarıyla çalıştırılır. En kötü senaryoda, doğrudan bir saldırgan tarafından kullanılabilecek yeni yönetici kullanıcıları oluşturulabilir. Bu güvenlik açığı temel olarak bir siteler arası betik çalıştırma (XSS) zafiyeti tarafından tetiklenen bir siteler arası istek sahteciliği (CSRF) vakasıdır; ancak aynı hedef ana bilgisayar üzerinde gerçekleştiği için aslında bir aynı site istek sahteciliğidir. JavaScript içeren HTML gibi kötü amaçlı içerikler, kimliği doğrulanmış bir arka uç kullanıcısı veya üçüncü taraf bir uzantıyı kullanan kimliği doğrulanmamış bir kullanıcı tarafından (örneğin, hedef konumu bilerek bir iletişim formundaki dosya yükleme özelliği üzerinden) sağlanabilir. Başarılı olması için, saldırıya uğrayan kurbanın saldırı anında aktif ve geçerli bir arka uç veya kurulum aracı kullanıcı oturumuna sahip olması gerekir. Bu sorun 9.5.17 ve 10.4.2 sürümlerinde düzeltilmiştir. Aşağıda açıklandığı şekilde ek hafifletme tekniklerinin uygulanması önerilir. - Sudo Mode Uzantısı: Bu TYPO3 uzantısı, güvenlik açısından kritik veritabanı tablolarındaki (örneğin kullanıcı hesaplarını veya dosya soyutlama katmanı depolamalarını saklayan tablolar) değişiklikleri engeller. Değişikliklerin, işlemi gerçekleştiren kullanıcı tarafından şifresinin tekrar girilmesiyle yeniden onaylanması gerekir. Bu teknik sudo modu olarak bilinir. Bu sayede, arka planda meydana gelen istenmeyen işlemler hafifletilebilir. - https://github.com/FriendsOfTYPO3/sudo-mode - https://extensions.typo3.org/extension/sudo_mode - İçerik Güvenlik Politikası (Content Security Policy): İçerik Güvenlik Politikaları, (modern) tarayıcılara belirli bir site tarafından sunulan kaynakların nasıl işleneceğini bildirir. Belirli konumlar için betik yürütülmesini yasaklamak da mümkündür. TYPO3 bağlamında, en azından /fileadmin/ ve /uploads/ konumlarında doğrudan betik yürütülmesinin yasaklanması önerilir.