Worum es geht

TYPO3 ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein Angreifer kann mehrere Schwachstellen in verschiedenen TYPO3 Extensions ausnutzen, um beliebigen Programmcode auszuführen, SQL-Injection durchzuführen, erweiterte Berechtigungen zu erlangen, Daten zu manipulieren, sensible Informationen offenzulegen, Sicherheitsmaßnahmen zu umgehen oder einen Denial-of-Service-Zustand auszulösen.

Unter welchen Bedingungen?

Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• beliebigen Programmcode auszuführen
• SQL-Injection durchzuführen
• erweiterte Berechtigungen zu erlangen
• Daten zu manipulieren
• sensible Informationen offenzulegen
• Sicherheitsmaßnahmen zu umgehen oder einen Denial-of-Service-Zustand auszulösen

Bin ich betroffen?

Betroffen sind laut BSI:

• TYPO3 Extension SYSSY-TYPO3 Monitoring & Security Checks <3.0.6
• TYPO3 Extension Modules <7.10.4
• TYPO3 Extension Modules <8.1.4
• TYPO3 Extension Mask <8.3.12
• TYPO3 Extension Mask <9.0.11
• TYPO3 Extension Telephone Directory <6.2.0
• TYPO3 Extension Club Directory <8.1.3
• TYPO3 Extension Forum <4.0.4
• TYPO3 Extension Forum <5.0.1
• TYPO3 Extension Forum <6.2.4
• TYPO3 Extension Powermail <10.9.3
• TYPO3 Extension Powermail <12.6.1

und 18 weitere

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• TYPO3 Extension SYSSY-TYPO3 Monitoring & Security Checks 3.0.6
• TYPO3 Extension Modules 7.10.4
• TYPO3 Extension Modules 8.1.4
• TYPO3 Extension Mask 8.3.12
• TYPO3 Extension Mask 9.0.11
• TYPO3 Extension Telephone Directory 6.2.0
• TYPO3 Extension Club Directory 8.1.3
• TYPO3 Extension Forum 4.0.4
• TYPO3 Extension Forum 5.0.1
• TYPO3 Extension Forum 6.2.4
• TYPO3 Extension Powermail 10.9.3
• TYPO3 Extension Powermail 12.6.1

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.