El equipo de desarrollo de Typo3 ha lanzado varias alertas de seguridad en el core de la herramienta para las cuales se han publicado dos actualizaciones de seguridad.
Las diferentes vulnerabilidades que han sido detectadas son:
- Revelación de información en la interfaz del usuario del backend.- Typo3-CORE-SA-2019-014.- Peligrosidad moderada.
El componente de información del elemento usado para mostrar las propiedades de determinados registros podrían ser susceptibles de ser divulgados. La lista de referencias del, o al, registro no es comprobada adecuadamente por el sistema de gestión de permisos de usuario. La vulnerabilidad se ve mitigada por el hecho de que el posible atacante debe disponer de una cuenta de usuario dentro del sistema.
TYPO3-CORE-SA-2019-014: Information Disclosure in Backend User Interfacehttps://t.co/4DCI1kNVBW
— TYPO3 Security (@typo3_security) June 25, 2019 - Cross-site Scripting en el sistema de gestión de enlaces.- Typo3-CORE-SA-2019-015.- Peligrosidad moderada-
Se ha detectado que el sistema de gestión de URLs t3:// es vulnerable a un posible ataque del tipo Cross-site scripting mediante el uso de javascript: o data:schema en los campos de enlace. Esta vulnerabilidad no sólo afecta a los formularios del backend, también a los de aquellas extensiones que use el renderizado de los campos con typolink.
TYPO3-CORE-SA-2019-015: Cross-Site Scripting in Link Handlinghttps://t.co/etYpaRl7Rr
— TYPO3 Security (@typo3_security) June 25, 2019 - Posibles efectos secundarios de deserialización en symfony/cache.- Typo3-CORE-SA-2019-016.
El componente de terceros symfony/cache podría estar conduciendo potencialmente a la la eliminación arbitraria de archivos en combinación con otras vulnerabilidad de deserialización (decodificación) inseguras.
TYPO3-CORE-SA-2019-016: Possible deserialization side-effects in symfony/cachehttps://t.co/lPG9x7KmTP
— TYPO3 Security (@typo3_security) June 25, 2019 - Rotura del Control de Accesos por el Módulo Import.- Typo3-CORE-SA-2019-017.- Peligrosidad alta.
Se ha detectado que el módulo Import/Export es susceptible de romper el control de accesos de la herramienta. Fruto de esta rotura un usuario sin permisos para ello podría tener acceso al módulo Import el cual es sólo accesible por usuarios con el rol de administrador o con permisos específicos para ello. El contenido de la base de datos a ser importado no se ve por el contrario afectado por esta vulnerabilidad. Sin embargo, podría darse la posibilidad que la subida de archivos se salten las restricciones de la capa de abstracción de archivos (FAL), lo cual no afecta a los archivos ejecutable que son correctamente securizados.
Para que la vulnerabilidad sea explotada, el atacante debe poseer un usuario registrado dentro del sistema.
TYPO3-CORE-SA-2019-017: Broken Access Control in Import Modulehttps://t.co/mH7lceCxqO
— TYPO3 Security (@typo3_security) June 25, 2019 - Mala configuración de la seguridad en la gestión de las sesiones de Frontend.- Typo3-CORE-SA-2019-018.-. Peligrosidad baja.
Se ha detectado que datos de sesión debidamente autenticados y logeados en el frontend son mantenidos y transformados en sesiones anónimas de usuario durante el procesos de logout. De esta manera, el siguiente usuario que use la misma aplicación cliente puede acceder a los datos de sesión previos.
TYPO3-CORE-SA-2019-018: Security Misconfiguration in Frontend Session Handlinghttps://t.co/LitcO9WO5h
— TYPO3 Security (@typo3_security) June 25, 2019 - Ejecución arbitraria de código y Cross-site Scripting en el backend de la API.- Typo3-CORE-SA-2019-019.- Peligrosidad moderada.
El backend de configuración de la API que usa Page TSconfig es vulnerable a la ejecución arbitraria de código y ataques cross-site scripting. Los campos TSconfig de las páginas de propiedades en los formularios del backend pueden ser usados para la ejecución de código malicioso. El campo tsconfig_includes es vulnerable a un posible cruce de directorios que podría conducir a que éstos puedan tener accesos a las opciones de configuración de TSconfig.
Para poder explotar esta vulnerabilidad es necesario disponer de un usuario autenticado dentro del sistema con permisos para modificar páginas.
TYPO3-CORE-SA-2019-019: Arbitrary Code Execution and Cross-Site Scripting in Backend APIhttps://t.co/g0fdKKDdpL
— TYPO3 Security (@typo3_security) June 25, 2019 - Deserialización insegura en Typo3 CMS.- Typo3-CORE-SA-2019-020. Peligrosidad alta.
Se ha detectado que FormEngine y Datahandler son vulnerables a una deserialización (decodificación) insegura. El posible atacante debe disponer de una cuenta de usuario dentro del sistema para explotar esta vulnerabilidad.
TYPO3-CORE-SA-2019-020: Insecure Deserialization in TYPO3 CMShttps://t.co/HoNMQNVJTE
— TYPO3 Security (@typo3_security) June 25, 2019
Para dar solución a todas estas vulnerabilidades se han publicado las actualizaciones de seguridad 9.5.8 y 8.7.27, a las cuales se recomienda vívamente actualizar nuestras instalaciones. Toda la información se puede encontrar en el sitio web de Typo3.