CVE-2024-25121
Açıklama
TYPO3, GNU GPL altında yayınlanan açık kaynaklı PHP tabanlı bir web içerik yönetim sistemidir. TYPO3'ün etkilenen sürümlerinde, File Abstraction Layer (FAL) varlıkları `DataHandler` aracılığıyla doğrudan kalıcı hale getirilebilmekteydi. Bu durum, saldırganların yedek depolamadaki (fallback storage) dosyalara doğrudan referans vermelerine ve bu dosyaların adlarını ve içeriklerini elde etmelerine olanak tanıyordu. Yedek depolama ("zero-storage"), düzgün yapılandırılmış dosya depolamalarının dışında ve genel web kök dizini içinde bulunan dosyalar için bir geriye dönük uyumluluk katmanı olarak kullanılır. Bu güvenlik açığının istismar edilmesi için geçerli bir backend kullanıcı hesabı gereklidir. Kullanıcıların, açıklanan sorunu gideren TYPO3 sürüm 8.7.57 ELTS, 9.5.46 ELTS, 10.4.43 ELTS, 11.5.35 LTS, 12.4.11 LTS veya 13.0.1 sürümlerine güncellemeleri önerilir. File Abstraction Layer varlıkları DataHandler üzerinden doğrudan kalıcı hale getirildiğinde, artık varsayılan olarak `sys_file` varlıkları reddedilmekte ve `sys_file_reference` ile `sys_file_metadata` varlıklarının yedek depolamadaki dosyalara referans vermesine izin verilmemektedir. Güvenli kaynaklardan veri içe aktarılırken, bunun ilgili DataHandler örneğinde `$dataHandler->isImporting = true;` kullanılarak açıkça etkinleştirilmesi gerekir.
Nasıl düzeltilir
- typo3 typo38.7.57, 9.5.46, 10.4.43, 11.5.35, 12.4.11 ya da sonraki bir sürüm
- typo3/cms-core8.7.57, 9.5.46, 10.4.43, 11.5.35, 12.4.11, 13.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| typo3 typo3 | 8.0.0 ≤ v < 8.7.57, 9.0.0 ≤ v < 9.5.46, 10.0.0 ≤ v < 10.4.43, 11.0.0 ≤ v < 11.5.35, 12.0.0 ≤ v < 12.4.11, 13.0.0 | 8.7.57, 9.5.46, 10.4.43, 11.5.35, 12.4.11 |
| typo3/cms-corePackagist | 8.0.0 ≤ v < 8.7.57, 9.0.0 ≤ v < 9.5.46, 10.0.0 ≤ v < 10.4.43, 11.0.0 ≤ v < 11.5.35, 12.0.0 ≤ v < 12.4.11, 13.0.0 ≤ v < 13.0.1 | 8.7.57, 9.5.46, 10.4.43, 11.5.35, 12.4.11, 13.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.