Bulletin d'alerte Debian

DSA-1926-1 typo3-src -- Plusieurs vulnérabilités

Date du rapport :
4 novembre 2009
Paquets concernés :
typo3-src
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le système de suivi des bogues Debian : Bogue 552020.
Dans le dictionnaire CVE du Mitre : CVE-2009-3628, CVE-2009-3629, CVE-2009-3630, CVE-2009-3631, CVE-2009-3632, CVE-2009-3633, CVE-2009-3634, CVE-2009-3635, CVE-2009-3636.
Plus de précisions :

Plusieurs vulnérabilités distantes ont été découvertes dans le système de gestion de contenu web TYPO3. Le projet « Common Vulnerabilities and Exposures » (CVE) identifie les problèmes suivants.

  • CVE-2009-3628

    Le sous-composant Backend permet aux utilisateurs authentifiés distants de déterminer une clef de chiffrement à l'aide d'une entrée contrefaite dans un champ de formulaire.

  • CVE-2009-3629

    Plusieurs vulnérabilités de script intersite (XSS) dans le sous-composant Backend permettent aux utilisateurs authentifiés distants d'injecter un script web arbitraire ou du HTML.

  • CVE-2009-3630

    Le sous-composant Backend permet aux utilisateurs authentifiés distants de placer des sites web arbitraires dans les ensembles de cadres (framesets) de moteur TYPO3 à l'aide de paramètres contrefaits.

  • CVE-2009-3631

    Le sous-composant Backend, lorsque l'extension DAM ou l'envoi FTP sont activés, permet aux utilisateurs authentifiés distants d'exécuter des commandes arbitraires à l'aide de métacaractères de l'interpréteur dans un nom de fichier.

  • CVE-2009-3632

    Une vulnérabilité d'injection SQL dans la fonctionnalité d'édition de l'interface traditionnelle du sous-composant Frontend Editing permet aux utilisateurs authentifiés distants d'exécuter des commandes SQL arbitraires.

  • CVE-2009-3633

    Une vulnérabilité de script intersite (XSS) permet aux attaquants distants d'injecter un script web arbitraire.

  • CVE-2009-3634

    Une vulnérabilité de script intersite (XSS) dans le sous-composant Frontend Login Box (alias felogin) permet aux attaquants distants d'injecter un script web arbitraire ou du HTML.

  • CVE-2009-3635

    Le sous-composant Install Tool permet aux attaquants distants d'obtenir un accès en utilisant seulement le hachage md5 du mot de passe pour s'authentifier.

  • CVE-2009-3636

    Une vulnérabilité de script intersite (XSS) dans le sous-composant Install Tool permet aux attaquants distants d'injecter un script web arbitraire ou du HTML.

Pour l'ancienne distribution stable (Etch), ces problèmes ont été corrigés dans la version 4.0.2+debian-9.

Pour la distribution stable (Lenny), ces problèmes ont été corrigés dans la version 4.2.5-1+lenny2.

Pour la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 4.2.10-1.

Nous vous recommandons de mettre à jour votre paquet typo3-src.

Corrigé dans :

Debian GNU/Linux 4.0 (etch)

Composant indépendant de l'architecture :
http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src-4.0_4.0.2+debian-9_all.deb
http://security.debian.org/pool/updates/main/t/typo3-src/typo3_4.0.2+debian-9_all.deb
Source :
http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian-9.diff.gz
http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian.orig.tar.gz
http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian-9.dsc

Debian GNU/Linux 5.0 (lenny)

Source :
http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.2.5.orig.tar.gz
http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.2.5-1+lenny2.diff.gz
http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.2.5-1+lenny2.dsc
Composant indépendant de l'architecture :
http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src-4.2_4.2.5-1+lenny2_all.deb
http://security.debian.org/pool/updates/main/t/typo3-src/typo3_4.2.5-1+lenny2_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.