Typo3 4.0.4: bulletin de sécurité

Suite à une faille découverte dans l'extension rtehtmlarea fournie dans toutes les versions de Typo3 supérieures à la 4.0, Adaltas a mis à jour toutes ses instalations Typo3.

Système: Extension système rtehtmlarea. Depuis la version 4.0 de Typo3, cette extension est inclue dans le core de Typo3.

Versions affectées: Toutes les versions supérieures à la version 4.0.

Type de vulnérabilité: Exécution de commandes serveurs depuis un poste client.

Description: Un problème critique à été découvert dans le plugin class.tx_rtehtmlarea_pi1.php qui est entre autre utilisé pour la vérification orthographique de l'extension rtehtmlarea.

Un attaqueur peut utiliser cette faille pour exécuter tout type de commandes, mettant ainsi en péril l'installation Typo3 ainsi que tous les fichiers présents sur le serveur.

Le système n'est vulnérable que si l'option PHP safe_mode est activée. Autrement, cette faille ne peut pas être exploitée.

Toutes les versions supérieures à la version 4.0 de Typo3 incluent cette extension par défault.  Les  systèmes sont vulnérables même si l'extension rtehtmlarea n'est pas activée dans le gestionnaire d'extension.

Actions entreprises: Adaltas à mis à jours toutes les installations Typo3 dont elle a la charge.

Informations complémentaires: L'extension rtehtmlarea est intégrée à toutes les installations Typo3 préparées et hébergées par Adaltas. Cette extension est un éditeur HTML similaire à Microsoft Word mais s'exécutant à l'intérieur d'un Navigateur Internet.

Retrouver la version officielle de cette anonce sur le site Typo3.org.