Seit längerem gab es heute wieder mal Advisories des TYPO3 Security Teams: Betroffen ist zunächst die “Visitor Tracking System” Extension (VTS, Extension-Schlüssel “de_phpot”).

Als negatives Novum muss gelten, dass der Extension-Autor nicht zur Behebung erreicht werden konnte – Konsequenz: Die Extension ist nun aus dem Repository verbannt. Der Verlust dürfte verschmerzbar sein, da das performanceintensive VTS (internes Protokollieren jedes Mausklicks) schon seit langem als ungünstige Lösung gilt.

Die verschiedenen Probleme – SQL Injection, Information Disclosure, Denial of Service – die von Henning Pingel aufgedeckt wurden, sind als schwerwiegend eingestuft. Details finden sich wie immer im offiziellen Security Bulletin.Insbesondere wird darauf hingewiesen, dass die Extension nicht nur deaktiviert, sondern auch deinstalliert werden sollte.

Die heute veröffentlichten Versionsupdates auf 4.1.4 und 4.0.8 beinhalten die Behebung einer Sicherheitslücke in indexed_search – eine Systemextension, die zum Standardumfang von TYPO3 gehört. Das Problem wird allerdings als eher unkritisch eingeschätzt: Es geht um die Möglichkeit von SQL Injection, allerdings nur für angemeldete Backend-Benutzer.

Was bedeutet das? Ein Redakteur könnte – mit sehr viel Knowhow, und erheblicher Mühe – unter bestimmten Umständen Datenbankkommandos absetzen und damit zum Beispiel unberechtigt Inhalte verändern oder auch Administrator werden. Aus Sicherheitssicht dürfte dieses Update also vor allem für Anwender mit einer großen Gruppe von (oder mit wenig vertrauenswürdigen) Backend-Benutzern, oder mit generell hohem Schutzbedarf von Bedeutung sein.

Das offizielle Bulletin dazu findet sich wie üblich unter http://typo3.org/teams/security/security-bulletins/typo3-20071210-1/.

Für die recht junge, aber mächtige Forums-Extension “mm_forum” wurde heute eine Vielzahl von Sicherheitslücken gemeldet – wie üblich in Form eines TYPO3 Security Bulletins und in Verbindung mit der Bereitstellung einer gefixten Version. Continue Reading ▶

Das TYPO3 Security Team hat heute ein weiteres Security Bulletin herausgegeben. Betroffen ist die mit 35.000 Downloads sehr verbreitete Gästebuch-Erweiterung “ve_guestbook” (u.a. eingesetzt im TYPO3-Blogsystem “TIMTAB”), allerdings nur in Versionen kleiner als 1.9.4.

Da es sich hierbei sowohl um Cross Site Scripting als auch um ein “SQL Injection” Problem handelt, wird es als schwerwiegend eingestuft.

Anwender-Berichte, die beim Security Team eingegangen sind, weisen darauf hin, dass diese Lücke in Hackerkreisen bereits bekannt ist, und gezielt gesucht und ausgenutzt wird. Wer also noch eine alte Version (< 1.9.4) verwendet, sollte diese dringend aktualisieren!

Details finden sich im offiziellen Security Bulletin.