[TYPO3-UG Russia] неточная информация в #309852

[Michael Shigorin]

	Здравствуйте.
На http://www.securitylab.ru/vulnerability/309852.php
недостаточно точная информация, вводящая в заблуждение:

> 14 декабря, 2007
> Программа: TYPO3 версии 3.x, 4.0 до 4.0.7 и 4.1 до 4.1.3
> 
> Опасность: Средняя

Это не так.

> Наличие эксплоита: Нет
> 
> Описание:
> Уязвимость позволяет удаленному пользователю

И это тоже не так.

> выполнить произвольные SQL команды в базе данных приложения.
> 
> Уязвимость существует из-за недостаточной обработки входных
> данных в параметре "indexed_search". Удаленный пользователь может
> с помощью специально сформированного запроса выполнить
> произвольные SQL команды в базе данных приложения.

Не всякий, а авторизованный в backend редактор/админ.

> URL производителя: typo3.org
> 
> Решение: Установите последнюю версию 4.1.4 или 4.0.8 с сайта
> производителя.

Рекомендую в будущем всё-таки сверяться с advisories оных
производителей -- в данном разе это

http://typo3.org/teams/security/security-bulletins/typo3-20071210-1/

Component Type: System extension, part of the TYPO3 default installation.

Affected Versions: TYPO3 versions 3.x, 4.0 to 4.0.7, 4.1 to 4.1.3.

Vulnerability Type: SQL Injection.

Severity: Low.

Problem Description:
The system extension indexed_search is vulnerable to a SQL Injection.
To exploit this flaw it is necessary to be a logged-on backend user.
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

Solution:
If you use TYPO3 4.1.x, update to TYPO3 version 4.1.4 or later.
If you use TYPO3 3.x or 4.0.x, update to TYPO3 version 4.0.8 or later. 

-- 
 ---- WBR, Michael Shigorin <mike at altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/