Bulletin d'alerte Debian

DSA-1720-1 typo3-src -- Plusieurs vulnérabilités

Date du rapport :
10 février 2009
Paquets concernés :
typo3-src
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 514713.
Plus de précisions :

Plusieurs vulnérabilités distantes ont été découvertes dans le gestionnaire de contenu web TYPO3.

Marcus Krause et Michael Stucki de l'équipe sécurité de TYPO3 ont découvert que le mécanisme jumpUrl révèle des hachages secrets permettant à un attaquant distant de contourner le contrôle d'accès en envoyant la bonne valeur en paramètre de l'URL. Ceci peut conduire à la capacité de lire le contenu de fichiers arbitraires.

Jelmer de Hen et Dmitry Dulepov ont découvert plusieurs failles de script inter-sites dans le backend de l'interface utilisateur. Ceci permet à des attaquants distants d'injecter des scripts web arbitraires ou du code HTML.

Comme il est très probable que votre clé de chiffrement ait été exposée, nous vous recommandons vivement de modifier votre clé via l'outil d'installation après avoir effectué la mise à jour.

Pour la distribution stable (Etch), ces problèmes ont été corrigés dans la version 4.0.2+debian-8.

Pour la distribution testing (Lenny), ces problèmes ont été corrigés dans la version 4.2.5-1+lenny1.

Pour la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 4.2.6-1.

Nous vous recommandons de mettre à jour votre paquet typo3.

Corrigé dans :

Debian GNU/Linux 4.0 (etch)

Source :
http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian-8.dsc
http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian-8.diff.gz
http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian.orig.tar.gz
Composant indépendant de l'architecture :
http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src-4.0_4.0.2+debian-8_all.deb
http://security.debian.org/pool/updates/main/t/typo3-src/typo3_4.0.2+debian-8_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.