ASA-2019-00418 – TYPO3: Execução de Código Arbitrário e Cross-Site Scripting na API de Backend

A configuração da API de backend usando o Página TSconfig é vulnerável à Execução de Código Arbitrário e Cross-Site Scripting. Os campos TSconfig das propriedades da página em formulários de backend podem ser usados para injetar seqüências maliciosas. O campo tsconfig_includes é vulnerável à directory traversal, levando aos mesmos cenários que ter acesso direto às configurações do TSconfig. Uma conta de usuário de backend válida com acesso para modificar valores para páginas de campos.TSconfig e pages.tsconfig_includes é necessária para explorar esta vulnerabilidade.

ASA-2019-00417 – TYPO3: Configuração incorreta de segurança no tratamento de sessão de frontend

Foi descoberto que os dados da sessão de usuários frontend autenticados corretamente são mantidos e transformados em uma sessão de usuário anônimo durante o processo de logout. Dessa forma, o próximo usuário que usa o mesmo aplicativo cliente obtém acesso aos dados da sessão anterior.

ASA-2019-00416 – TYPO3: Controle de Acesso Quebrado no Módulo de Importação

Foi descoberto que o módulo Importar/Exportar é suscetível a controle de acesso quebrado. Os usuários de back-end regulares têm acesso à funcionalidade de importação, que geralmente está disponível apenas para usuários administradores ou usuários com opções de configuração do usuário TSconfig.impexp.enableImportForNonAdminUser explicitamente ativados. O conteúdo do banco de dados a ser importado, no entanto, foi verificado corretamente em relação às permissões dos usuários e não foi afetado. No entanto, foi possível fazer upload de arquivos ultrapassando as restrições da camada de abstração de arquivos (FAL) - no entanto, isso não afetou os arquivos executáveis que foram corretamente protegidos pelo fileDenyPattern. Atualmente, a única vulnerabilidade conhecida é a injeção direta de arquivos *.form.yaml que podem ser usados para acionar a vulnerabilidade do TYPO3-CORE-SA-2018-003 (Escalação de privilégios e SQL Injection) - que requer o Form Framework (ext:form) estar disponível em um site de acordo.

ASA-2019-00415 – TYPO3: Possíveis efeitos colaterais de desserialização no symfony/cache

O componente de terceiros symfony/cache  pode ter levado potencialmente à remoção de arquivos arbitrários em combinação com outras vulnerabilidades de desserialização inseguras.