๐ TYPO3 bis 6.2.15 Flvplayer External erweiterte Rechte
๐ก Newskategorie: Sicherheitslรผcken
๐ Quelle: scip.ch
Allgemein
scipID: 80163
Betroffen: TYPO3 bis 6.2.15
Veröffentlicht: 08.01.2016
Risiko: kritisch
Erstellt: 10.01.2016
Aktualisiert: 11.01.2016
Eintrag: 66.2% komplett
Beschreibung
Es wurde eine Schwachstelle in TYPO3 bis 6.2.15 entdeckt. Sie wurde als kritisch eingestuft. Dabei betrifft es eine unbekannte Funktion der Komponente Flvplayer. Mittels Manipulieren mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle (External) ausgenutzt werden. Die Auswirkungen sind bekannt für Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:
The Flvplayer component in TYPO3 6.2.x before 6.2.16 allows remote attackers to embed Flash videos from external domains via unspecified vectors, aka “Cross-Site Flashing.”
Die Schwachstelle wurde am 08.01.2016 publiziert. Die Identifikation der Schwachstelle wird mit CVE-2015-8760 vorgenommen. Der Angriff kann über das Netzwerk erfolgen. Technische Details sind nicht bekannt und ein Exploit zur Schwachstelle ist ebenfalls nicht vorhanden.
Ein Aktualisieren auf die Version 6.2.16 vermag dieses Problem zu lösen.CVSS
Base Score: 6.0 (CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:P) [?]
Temp Score: 5.2 (CVSS2#E:ND/RL:OF/RC:ND) [?]
CPE
- cpe:/a:typo3:typo3:6.2.0
- cpe:/a:typo3:typo3:6.2.1
- cpe:/a:typo3:typo3:6.2.2
- cpe:/a:typo3:typo3:6.2.3
- cpe:/a:typo3:typo3:6.2.4
- cpe:/a:typo3:typo3:6.2.5
- cpe:/a:typo3:typo3:6.2.6
- cpe:/a:typo3:typo3:6.2.7
- cpe:/a:typo3:typo3:6.2.8
- cpe:/a:typo3:typo3:6.2.9
- cpe:/a:typo3:typo3:6.2.10
- cpe:/a:typo3:typo3:6.2.11
- cpe:/a:typo3:typo3:6.2.12
- cpe:/a:typo3:typo3:6.2.13
- cpe:/a:typo3:typo3:6.2.14
- cpe:/a:typo3:typo3:6.2.15
Exploiting
Klasse: Erweiterte Rechte
Lokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $10k-$25k (0-day) / $5k-$10k (Heute)
Gegenmassnahmen
Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden
Upgrade: TYPO3 6.2.16
Timeline
08.01.2016 | Advisory veröffentlicht
10.01.2016 | VulDB Eintrag erstellt
11.01.2016 | VulDB Eintrag aktualisiert
Quellen
CVE: CVE-2015-8760 (mitre.org) (nvd.nist.org) (cvedetails.com)
...