Уязвимость CVE-2023-50460 в расширении femanager для TYPO3 позволяет бэкенд-пользователям управлять любыми фронтенд-аккаунтами

В экосистеме TYPO3 расширение femanager широко используется для организации регистрации и управления фронтенд-пользователями: подтверждения учётных записей, отказа в регистрации, повторной отправки писем-подтверждений и принудительного выхода. Именно в логике работы этих функций была выявлена уязвимость, получившая идентификатор CVE-2023-50460.

Подробности

Уязвимости подвержены все версии расширения femanager ветки 7.x до 7.2.3 включительно для TYPO3. Согласно описанию CVE, бэкенд-модуль расширения не выполняет должной проверки прав доступа при вызове ряда действий. В результате аутентифицированный пользователь бэкенда — то есть сотрудник с доступом к административной панели TYPO3, но без обязательных для таких операций привилегий — может выполнить следующие действия для любого фронтенд-пользователя в системе: - userLogout — принудительный выход пользователя из системы; - confirmUser — подтверждение учётной записи; - refuseUser — отказ в регистрации/отклонение пользователя; - resendUserConfirmation — повторная отправка письма с подтверждением. Уязвимость классифицируется как проблема контроля доступа (нарушение авторизации). Базовая оценка CVSS 3.x составляет 5.4, что соответствует среднему уровню критичности. Такая оценка отражает тот факт, что для эксплуатации требуется наличие действительной учётной записи бэкенда, однако последствия могут затронуть произвольных фронтенд-пользователей: от несанкционированного подтверждения или блокировки аккаунтов до нарушения нормального процесса регистрации и аутентификации на сайте. Отдельно стоит отметить, что действия подтверждения и отказа напрямую влияют на статус учётных записей, а принудительный выход может быть использован для нарушения доступности сервиса или в рамках социальной инженерии. Поскольку операции выполняются от имени легитимного бэкенд-пользователя, они могут остаться незамеченными при поверхностном мониторинге журналов.

Что делать

Основная рекомендация — как можно скорее обновить расширение femanager до версии 7.2.3 или более поздней. Именно в этой версии устранена описанная проблема. Порядок действий: 1. Проверьте установленную версию расширения femanager в вашей инсталляции TYPO3 (через Composer или список расширений в административной панели). 2. Выполните обновление до 7.2.3+ с соблюдением стандартной процедуры: резервная копия базы данных и файлов, обновление в тестовой среде, затем — на проде. 3. Убедитесь, что все зависимости и совместимость с вашей версией TYPO3 сохранены после обновления. Если по каким-либо причинам немедленное обновление невозможно, в качестве временных компенсирующих мер следует: - ограничить число пользователей с доступом к бэкенду и пересмотреть их роли, следуя принципу минимальных привилегий; - включить детальное журналирование действий в административной панели и настроить оповещения о вызовах функций управления фронтенд-пользователями; - усилить мониторинг аномальных операций (массовые подтверждения, отказы, принудительные выходы). Важно понимать, что митигации не заменяют установку патча, а лишь снижают вероятность эксплуатации. Итог: CVE-2023-50460 — умеренно опасная, но требующая внимания уязвимость нарушения контроля доступа в femanager для TYPO3. Она позволяет обладателю учётной записи бэкенда управлять произвольными фронтенд-пользователями. Единственное надёжное решение — обновление до версии 7.2.3. Организациям, использующим femanager, рекомендуется провести инвентаризацию версий и применить патч в приоритетном порядке, а также пересмотреть модель прав доступа к бэкенду.

Источник: CVE Project (cvelistV5)