🇰🇷 한글 설명
TYPO3의 Content Editing Wizards 컴포넌트에서 서명 확인 부재로 인해 원격 인증 사용자가 임의의 PHP 객체를 역직렬화할 수 있습니다. 이를 통해 파일 삭제 및 기타 불특정 영향을 미칠 수 있습니다.
💡 쉬운 설명
TYPO3 웹 애플리케이션의 편집 도구에서 로그인한 관리자가 악의적으로 조작된 데이터를 보내 서버의 파일을 지우거나 다른 해로운 작업을 할 수 있습니다. 올바른 검증 절차가 없어서 발생하는 문제입니다.
🇺🇸 원문 (English)
The Content Editing Wizards component in TYPO3 4.5.0 through 4.5.31, 4.7.0 through 4.7.16, 6.0.0 through 6.0.11, and 6.1.0 through 6.1.6 allows remote authenticated backend users to unserialize arbitrary PHP objects, delete arbitrary files, and possibly have other unspecified impacts via an unspecified parameter, related to a "missing signature."
📍 영향받는 시스템
TYPO3 4.5.0~4.5.31, 4.7.0~4.7.16, 6.0.0~6.0.11, 6.1.0~6.1.6
⚔️ 공격 벡터
원격 인증된 백엔드 사용자가 서명되지 않은 파라미터를 통해 임의의 PHP 객체를 역직렬화하여 공격 실행
🛡️ 대응 방법
영향받는 TYPO3 버전을 패치된 최신 버전으로 업그레이드하고 입력 검증을 강화
🔧 검증 코드
위 명령어로 TYPO3 패키지가 설치되어 있으면 패키지명과 버전이 표시되며, 표시된 버전이 4.5.0~4.5.31, 4.7.0~4.7.16, 6.0.0~6.0.11, 6.1.0~6.1.6 범위에 있으면 취약합니다.
dpkg -l 2>/dev/null | grep typo3 | awk '{print $2, $3}'