SYSS-2016-007: Insecure Unserialize-Schwachstelle im TYPO3-Core

Im TYPO3 Import/Export-Modul konnte IT-Security Consultant Franz G. Jahn eine Schwachstelle identifizieren, durch die beliebige Benutzereingaben deserialisiert werden. Abhängig vom konkreten Setup einer Installation können darüber beliebige Dateien gelöscht oder sogar eigener Code zur Ausführung gebracht werden. Die Schwachstelle ist nur durch authentifizierte Redakteure ausnutzbar.

Da die Schwachstelle jedoch auf dem verwendeten Dateiformat beruht, ist eine grundsätzliche Behebung nicht ohne Weiteres möglich. Dementsprechend wird im aktuellen TYPO3-Release der Zugriff auf das Import/Export-Modul auf administrative Nutzer eingeschränkt. Für vertrauenswürdige Benutzer kann die verwundbare Funktion jedoch weiterhin freigegeben werden.

Informationen zu den Schwachstellen finden Sie in unseren Security Advisory sowie im zugehörigen TYPO3 Security Bulletin/ You will find detailed information about these security issues in our Security Advisory and in the related TYPO3 Security Bulletin:

• SYSS-2016-007
• https://typo3.org/teams/security/security-bulletins/typo3-core/typo3-core-sa-2016-015/

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.