CVE-2023-24814
Açıklama
TYPO3, GNU Genel Kamu Lisansı altında yayınlanan ücretsiz ve açık kaynaklı bir İçerik Yönetim Çerçevesidir. Etkilenen sürümlerde, TYPO3 çekirdek bileşeni `GeneralUtility::getIndpEnv()`, filtrelenmemiş sunucu ortam değişkeni `PATH_INFO`'yu kullanır; bu durum saldırganların kötü amaçlı içerik enjekte etmesine olanak tanır. `config.absRefPrefix=auto` TypoScript ayarıyla birlikte, saldırganlar henüz işlenmemiş ve önbelleğe alınmamış sayfalara kötü amaçlı HTML kodu enjekte edebilirler. Sonuç olarak, enjekte edilen değerler önbelleğe alınır ve diğer web sitesi ziyaretçilerine iletilir (kalıcı siteler arası betik çalıştırma (XSS)). `GeneralUtility::getIndpEnv('SCRIPT_NAME')` fonksiyonunun çözümlenen değerine dayanan bireysel kodlar ve ilgili kullanımlar da savunmasızdır. Ek incelemeler, CGI (FPM, FCGI/FastCGI ve benzerleri) kullanan en azından Apache web sunucusu dağıtımlarının etkilendiğini doğrulamıştır. Bununla birlikte, nginx, IIS veya Apache/mod_php gibi diğer senaryoların da savunmasız olma riski bulunmaktadır. Sunucu ortam değişkeni `PATH_INFO` kullanımı, `GeneralUtility::getIndpEnv()` içindeki ilgili işlemlerden kaldırılmıştır. Bunun yanı sıra, genel özellik `TypoScriptFrontendController::$absRefPrefix`, hem bir URI bileşeni olarak kullanılması hem de bir HTML bağlamında önek olarak kullanılması için kodlanmıştır. Bu işlem, siteler arası betik çalıştırma zafiyetini hafifletmektedir. Kullanıcıların bu sorunu gideren TYPO3 versiyonları 8.7.51 ELTS, 9.5.40 ELTS, 10.4.35 LTS, 11.5.23 LTS ve 12.2.0 sürümlerine güncellemeleri önerilir. Zamanında yama uygulayamayan kullanıcılar için `config.absRefPrefix` TypoScript ayarı, auto yerine en azından statik bir yol değerine ayarlanmalıdır - örneğin `config.absRefPrefix=/`. Bu geçici çözüm **zafiyetin tüm yönlerini gidermez** ve yalnızca en belirgin tezahürüne karşı ara bir hafifletme yöntemi olarak değerlendirilir.
Nasıl düzeltilir
- typo3 typo39.7.51, 9.5.40, 10.4.36, 11.5.23, 12.2.0 ya da sonraki bir sürüm
- typo3/cms-core12.2.0, 11.5.23, 10.4.36, 9.5.40, 8.7.51 ya da sonraki bir sürüm
- typo3/cms10.4.35, 11.5.23, 12.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| typo3 typo3 | 8.7.0 ≤ v < 9.7.51, 9.0.0 ≤ v < 9.5.40, 10.0.0 ≤ v < 10.4.36, 11.0.0 ≤ v < 11.5.23, 12.0.0 ≤ v < 12.2.0 | 9.7.51, 9.5.40, 10.4.36, 11.5.23, 12.2.0 |
| typo3/cms-corePackagist | 12.0.0 ≤ v < 12.2.0, 11.0.0 ≤ v < 11.5.23, 10.0.0 ≤ v < 10.4.36, 9.0.0 ≤ v < 9.5.40, 8.7.0 ≤ v < 8.7.51 | 12.2.0, 11.5.23, 10.4.36, 9.5.40, 8.7.51 |
| typo3/cmsPackagist | 10.0.0 ≤ v < 10.4.35, 11.0.0 ≤ v < 11.5.23, 12.0.0 ≤ v < 12.2.0 | 10.4.35, 11.5.23, 12.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.