CVE-2024-55921
Açıklama
TYPO3, ücretsiz ve açık kaynaklı bir İçerik Yönetim Çerçevesidir. Arka uç kullanıcı arayüzü işlevselliğinde derin bağlantıları içeren bir güvenlik açığı tespit edilmiştir. Özellikle bu işlevsellik, Siteler Arası İstek Sahteciliği (CSRF) saldırılarına karşı savunmasızdır. Ayrıca, alt bileşenlerdeki durum değiştiren eylemler, HTTP GET aracılığıyla yapılan gönderimleri hatalı şekilde kabul etmiş ve uygun HTTP yöntemini zorunlu kılmamıştır. Bu güvenlik açığının başarılı şekilde sömürülmesi, mağdurun arka uç kullanıcı arayüzünde etkin bir oturumunun olmasını ve arka ucu hedefleyen kötü amaçlı bir URL ile etkileşime girmeye kandırılmasını gerektirir; bu durum aşağıdaki koşullar altında gerçekleşebilir: Kullanıcı, örneğin e-posta yoluyla gönderilen kötü amaçlı bir bağlantıyı açar. Kullanıcı, aşağıdaki ayarlar hatalı yapılandırılmışken ele geçirilmiş veya manipüle edilmiş bir web sitesini ziyaret eder: 1. `security.backend.enforceReferrer` özelliği devre dışıdır, 2. `BE/cookieSameSite` yapılandırması lax veya none olarak ayarlanmıştır. Etkilenen alt bileşen "Extension Manager Module" içindeki güvenlik açığı, saldırganların TYPO3 Extension Repository'den 3. taraf uzantıları almasına ve yüklemesine olanak tanır - bu da en kötü durumda uzaktan kod çalıştırmaya yol açabilir. Kullanıcıların, açıklanan sorunu gideren TYPO3 11.5.42 ELTS, 12.4.25 LTS, 13.4.3 LTS sürümlerine güncelleme yapmaları önerilir.
Nasıl düzeltilir
- typo3 typo310.4.48, 11.5.42, 12.4.25, 13.4.3 ya da sonraki bir sürüm
- typo3/cms-extensionmanager10.4.48, 11.5.42, 12.4.25, 13.4.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| typo3 typo3 | 10.0.0 ≤ v < 10.4.48, 11.0.0 ≤ v < 11.5.42, 12.0.0 ≤ v < 12.4.25, 13.0.0 ≤ v < 13.4.3 | 10.4.48, 11.5.42, 12.4.25, 13.4.3 |
| typo3/cms-extensionmanagerPackagist | 10.0.0 ≤ v < 10.4.48, 11.0.0 ≤ v < 11.5.42, 12.0.0 ≤ v < 12.4.25, 13.0.0 ≤ v < 13.4.3 | 10.4.48, 11.5.42, 12.4.25, 13.4.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.