BDU:2023-00925 (CVE-2023-24814) — уязвимость функции GeneralUtility::getIndpEnv() системы управления контентом TYPO3

По данным БДУ ФСТЭК России, по состоянию на 01.03.2023.

Уязвимость функции GeneralUtility::getIndpEnv() системы управления контентом TYPO3 связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществлять межсайтовые сценарные атаки с помощью специально созданной HTML-страницы

Кого касается и что делать

• Уязвимое ПО: TYPO3 (TYPO3) — версии от 8.7.0 до 9.7.51, от 9.0.0 до 9.5.40, от 10.0.0 до 10.4.36, от 11.0.0 до 11.5.23, от 12.0.0 до 12.2.0
• Что делать: уязвимость устранена производителем — применить исправления: typo3.org
• Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2023-00925 · CVE-2023-24814
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.8; CVSS 2.0 — 8.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:L атака по сети, низкая сложность, без прав, требуется участие пользователя, затрагивает смежные компоненты, ограниченное влияние на конфиденциальность и доступность, высокое влияние на целостность
Наименование ФСТЭК	Уязвимость функции GeneralUtility::getIndpEnv() системы управления контентом TYPO3, позволяющая нарушителю осуществлять межсайтовые сценарные атаки
Даты	Опубликована: 01.03.2023 · Обновлена ФСТЭК: 01.03.2023 · Выявлена: 07.02.2023
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-79 — непринятие мер по защите структуры веб-страницы (или «Межсайтовая сценарная атака»)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

• TYPO3 (TYPO3) — версии от 8.7.0 до 9.7.51, от 9.0.0 до 9.5.40, от 10.0.0 до 10.4.36, от 11.0.0 до 11.5.23, от 12.0.0 до 12.2.0 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций производителя
• typo3.org/security/advisory/typo3-core-sa-2021-009

Источники

• nvd.nist.gov/vuln/detail/CVE-2023-24814
• docs.typo3.org/m/typo3/reference-typoscript/main/en-us/Se…
• github.com/TYPO3/typo3/blob/v11.5.22/typo3/sysext/core/Cl…
• github.com/TYPO3/typo3/blob/v11.5.22/typo3/sysext/fronten…
• github.com/TYPO3/typo3/commit/0005a6fd86ab97eff8bf2e3a582…
• github.com/TYPO3/typo3/security/advisories/GHSA-r4f8-f93x…
• typo3.org/security/advisory/typo3-core-sa-2023-001
• typo3.org/security/advisory/typo3-psa-2023-001