CVE-2020-15098
Açıklama
TYPO3 CMS'in 9.0.0 ve üzeri ancak 9.5.20'den küçük versiyonlarında ve 10.0.0 ve üzeri ancak 10.4.6'dan küçük versiyonlarında, dahili bir doğrulama mekanizmasının rastgele sağlama toplamları (checksums) oluşturmak için kullanılabileceği keşfedilmiştir. Bu durum, geçerli bir kriptografik mesaj kimlik doğrulama kodu (HMAC-SHA1) içeren rastgele verilerin enjekte edilmesine olanak tanır ve potansiyel yetki yükseltme, güvensiz deserialization ve uzaktan kod çalıştırma dahil olmak üzere çeşitli saldırı zincirlerine yol açabilir. Bahsedilen saldırı zincirleri ve geçerli bir backend kullanıcı oturumuna (kimliği doğrulanmış) sahip olma gereksinimi nedeniyle bu güvenlik açığının genel şiddeti yüksektir. Bu sorun 9.5.20 ve 10.4.6 versiyonlarında giderilmiştir.
Nasıl düzeltilir
- typo3 typo39.5.20, 10.4.6 ya da sonraki bir sürüm
- typo3/cms-core9.5.20, 10.4.6 ya da sonraki bir sürüm
- typo3/cms10.4.6, 9.5.20 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| typo3 typo3 | 9.0.0 ≤ v < 9.5.20, 10.0.0 ≤ v < 10.4.6 | 9.5.20, 10.4.6 |
| typo3/cms-corePackagist | 9.0.0 ≤ v < 9.5.20, 10.0.0 ≤ v < 10.4.6 | 9.5.20, 10.4.6 |
| typo3/cmsPackagist | 10.0.0 ≤ v < 10.4.6, 9.0.0 ≤ v < 9.5.20 | 10.4.6, 9.5.20 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.