Bulletin d'alerte Debian

DSA-1711-1 typo3-src -- Plusieurs vulnérabilités

Date du rapport :

26 janvier 2009

Paquets concernés :

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 512608.
Dans la base de données de suivi des bogues (chez SecurityFocus) : Identifiant BugTraq 33376.
Dans le dictionnaire CVE du Mitre : CVE-2009-0255, CVE-2009-0256, CVE-2009-0257, CVE-2009-0258.

Plus de précisions :

Plusieurs vulnérabilités exploitables à distance ont été découvertes dans le gestionnaire de contenu web TYPO3. Le projet des expositions et vulnérabilités communes (CVE) identifie les problèmes suivants.

CVE-2009-0255
Chris John Riley a découvert que les clés de chiffrement utilisés par TYPO3 sont générées avec un manque de sel ce qui conduit à une entropie faible et facilite la découverte de cette clé par les attaquants.
CVE-2009-0256
Marcus Krause a découvert que TYPO3 n'invalide pas une session fournie lors de l'authentification ce qui permet à un attaquant de prendre la session d'une victime par l'intermédiaire d'une attaque de session.
CVE-2009-0257
Plusieurs vulnérabilités de script intersites permettent à des attaquants distants d'injecter arbitrairement des scripts web ou du code HTML via différents arguments et chaînes fournies par l'utilisateur utilisées dans l'extension de système de recherche indexée et dans l'extension de scripts de test ou le module de travail de adodb.
CVE-2009-0258
Mads Olesen a découvert une vulnérabilité d'injection de commandes à distance dans l'extension du système de recherche indexée qui permet à des attaquants d'exécuter du code arbitraire via un nom de fichier bien choisi puis passé sans échappement à divers outils système qui en extraient le contenu pour l'indexation.

En raison de CVE-2009-0255, assurez-vous de générer une nouvelle clé de chiffrement après l' installation.

Pour la distribution stable (Etch), ces problèmes ont été corrigés dans la version 4.0.2+debian-7.

Pour la distribution unstable (Sid), ces problèmes ont été corrigés dans la version 4.2.5-1.

Nous vous recommandons de mettre à jour vos paquets TYPO3.

Corrigé dans :

Debian GNU/Linux 4.0 (etch)

Source :: http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian.orig.tar.gz; http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian-7.diff.gz; http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian-7.dsc
Composant indépendant de l'architecture :: http://security.debian.org/pool/updates/main/t/typo3-src/typo3_4.0.2+debian-7_all.deb; http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src-4.0_4.0.2+debian-7_all.deb

Les sommes MD5 des fichiers indiqués sont disponibles sur la page originale de l'alerte de sécurité.