Debians sikkerhedsbulletin

DSA-1711-1 typo3-src -- flere sårbarheder

Rapporteret den:

26. jan 2009

Berørte pakker:

Sårbar:

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 512608.
I Bugtraq-databasen (hos SecurityFocus): BugTraq-id 33376.
I Mitres CVE-ordbog: CVE-2009-0255, CVE-2009-0256, CVE-2009-0257, CVE-2009-0258.

Yderligere oplysninger:

Flere fjernudnytbare sårbarheder er opdaget i webindholdshåndteringsprogrammet TYPO3. Projektet Common Vulnerabilities and Exposures har registreret følgende problems:

CVE-2009-0255
Chris John Riley opdagede at krypteringsnøglen der anvendes i TYPO3, blev genereret med en utilstrækkelig tilfældig seed, medførende lav entropi, hvilket gjorde det lettere for angribere at knække denne nøgle.
CVE-2009-0256
Marcus Krause opdagede at TYPO3 ikke invaliderede en leveret session ved autentifikation, hvilket gjorde det muligt for en angriber at overtage et offers session gennem et sessionfikseringsangreb.
CVE-2009-0257
Flere sårbarheder i forbindelse med udførelse af skripter på tværs af websteder, gjorde det muligt for fjernangribere at indsprøjte vilkårligt webskript eller HTML gennem forskellige parametre og brugerleverede strenge, anvendt udvidelsen med det indekserede søgesystem, testskripter til adodb-udvidelsen eller i workspace-modulet.
CVE-2009-0258
Mads Olesen opdagede en sårbarhed i forbindelse med fjernindspøjtning af kommandoer i udvidelsen med det indekserede søgesystem, hvilket gjorde det muligt for angribere at udføre vilkårlig kode gennem et fabrikeret filnavn, der blev leveret uindkapslet til forskellige systemværktøjer, der udtrækker filindhold til indekseringen.

På grund af CVE-2009-0255, er det vigtigt at sikre sig, ud over at installere denne opdatering, at man efter installeringen genererer en ny krypteringsnøgle.

I den stabile distribution (etch) er disse problemer rettet i version 4.0.2+debian-7.

I den ustabile distribution (sid) er disse problemer rettet i version 4.2.5-1.

Vi anbefaler at du opgraderer dine TYPO3-pakker.

Rettet i:

Debian GNU/Linux 4.0 (etch)

Kildekode:: http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian.orig.tar.gz; http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian-7.diff.gz; http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian-7.dsc
Arkitekturuafhængig komponent:: http://security.debian.org/pool/updates/main/t/typo3-src/typo3_4.0.2+debian-7_all.deb; http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src-4.0_4.0.2+debian-7_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.