De quoi il s’agit

TYPO3 ist ein freies Content-Management-System, basierend auf der Scriptsprache PHP und einer SQL-Datenbank. Über zahlreiche Extensions kann der Funktionsumfang der Core-Installation individuell erweitert werden. Ein Angreifer kann mehrere Schwachstellen in verschiedenen TYPO3 Extensions ausnutzen, um beliebigen Programmcode auszuführen, SQL-Injection durchzuführen, erweiterte Berechtigungen zu erlangen, Daten zu manipulieren, sensible Informationen offenzulegen, Sicherheitsmaßnahmen zu umgehen oder einen Denial-of-Service-Zustand auszulösen.

Dans quelles conditions ?

Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.

Ce qui peut arriver dans le pire des cas

Un attaquant pourrait exploiter la faille pour

• beliebigen Programmcode auszuführen
• SQL-Injection durchzuführen
• erweiterte Berechtigungen zu erlangen
• Daten zu manipulieren
• sensible Informationen offenzulegen
• Sicherheitsmaßnahmen zu umgehen oder einen Denial-of-Service-Zustand auszulösen

Suis-je concerné ?

Concernés selon le BSI :

• TYPO3 Extension SYSSY-TYPO3 Monitoring & Security Checks <3.0.6
• TYPO3 Extension Modules <7.10.4
• TYPO3 Extension Modules <8.1.4
• TYPO3 Extension Mask <8.3.12
• TYPO3 Extension Mask <9.0.11
• TYPO3 Extension Telephone Directory <6.2.0
• TYPO3 Extension Club Directory <8.1.3
• TYPO3 Extension Forum <4.0.4
• TYPO3 Extension Forum <5.0.1
• TYPO3 Extension Forum <6.2.4
• TYPO3 Extension Powermail <10.9.3
• TYPO3 Extension Powermail <12.6.1

et 18 autres

La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.

Que faire ?

Mettre à jour au moins vers :

• TYPO3 Extension SYSSY-TYPO3 Monitoring & Security Checks 3.0.6
• TYPO3 Extension Modules 7.10.4
• TYPO3 Extension Modules 8.1.4
• TYPO3 Extension Mask 8.3.12
• TYPO3 Extension Mask 9.0.11
• TYPO3 Extension Telephone Directory 6.2.0
• TYPO3 Extension Club Directory 8.1.3
• TYPO3 Extension Forum 4.0.4
• TYPO3 Extension Forum 5.0.1
• TYPO3 Extension Forum 6.2.4
• TYPO3 Extension Powermail 10.9.3
• TYPO3 Extension Powermail 12.6.1

La faille est-elle déjà exploitée ?

Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.