Debians sikkerhedsbulletin

DSA-1596-1 typo3 -- flere sårbarheder

Rapporteret den:

12. jun 2008

Berørte pakker:

typo3

Sårbar:

Referencer i sikkerhedsdatabaser:

I Debians fejlsporingssystem: Fejl 485814.
I Mitres CVE-ordbog: CVE-2008-2717, CVE-2008-2718.

Yderligere oplysninger:

Flere fjernudnytbare sårbarheder er opdaget i indholdsbehandlingsframeworket TYPO3.

På grund af ikke tilstrækkeligt sikre standardværdier i TYPO3s opsætningsvariabel fileDenyPattern, kunne autentificerede backend-brugere uploade filer, der gjorde det muligt at udføre kode som webserver-brugeren.

Brugerinddata behandlet af fe_adminlib.inc blev ikke filtreret på korrekt vis for at forhindre udførelse af skripter på tværs af websteder-angreb (XSS), hvilket blev muligt når visse specifikke plugins anvendtes.

I den stabile distribution (etch), er disse problemer rettet i version 4.0.2+debian-5.

I den ustabile distribution (sid), er disse problemer rettet i version 4.1.7-1.

Vi anbefaler at du opgraderer din typo3-pakke.

Rettet i:

Debian GNU/Linux 4.0 (etch)

Kildekode:: http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian-5.dsc; http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian.orig.tar.gz; http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src_4.0.2+debian-5.diff.gz
Arkitekturuafhængig komponent:: http://security.debian.org/pool/updates/main/t/typo3-src/typo3_4.0.2+debian-5_all.deb; http://security.debian.org/pool/updates/main/t/typo3-src/typo3-src-4.0_4.0.2+debian-5_all.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.