CVE-2011-4628

TYPO3: Ominięcie mechanizmu uwierzytelniania w panelu administracyjnym

CVSS 9.8v3.1pub. 2019-11-06upd. 2024-11-21

Podatność w systemie zarządzania treścią TYPO3 umożliwia zdalnym atakującym ominięcie mechanizmów uwierzytelniania w panelu administracyjnym (backend) poprzez spreparowane żądanie. Ze względu na brak wymagań dotyczących uprawnień i możliwość przeprowadzenia ataku przez sieć, podatność jest klasyfikowana jako krytyczna.

▸ Pokaż oryginał (EN)

TYPO3 before 4.3.12, 4.4.x before 4.4.9, and 4.5.x before 4.5.4 allows remote attackers to bypass authentication mechanisms in the backend through a crafted request.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowane żądanie HTTP do backendu TYPO3, które pozwala ominąć wbudowane mechanizmy uwierzytelniania. Podatność jest sklasyfikowana jako CWE-287 (Improper Authentication), co wskazuje na nieprawidłową weryfikację tożsamości użytkownika po stronie serwera. Exploit nie wymaga żadnych wcześniejszych uprawnień ani interakcji ze strony ofiary, co czyni atak szczególnie łatwym do przeprowadzenia.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do panelu administracyjnego TYPO3, co potencjalnie prowadzi do pełnego przejęcia kontroli nad systemem, w tym do odczytu, modyfikacji lub usunięcia danych oraz zawartości zarządzanej witryny.

Mitygacja

Należy zaktualizować TYPO3 do wersji 4.3.12 lub nowszej, 4.4.9 lub nowszej, albo 4.5.4 lub nowszej — zgodnie z zaleceniami producenta opisanymi w biuletynie typo3-core-sa-2011-001. Należy również rozważyć ograniczenie dostępu do panelu administracyjnego (backend) na poziomie sieci lub firewall, np. poprzez ograniczenie dostępu wyłącznie do zaufanych adresów IP.

Kogo dotyczy

TYPO3 w wersjach przed 4.3.12, w wersjach 4.4.x przed 4.4.9 oraz w wersjach 4.5.x przed 4.5.4

Uwagi

Podatność została opisana w oficjalnym biuletynie bezpieczeństwa TYPO3 o identyfikatorze typo3-core-sa-2011-001, dotyczącym obejścia opóźnienia uwierzytelniania (Authentication Delay Bypass). Pomimo oryginalnej daty podatności odnoszącej się do 2011 roku, CVE zostało formalnie opublikowane 6 listopada 2019 roku.