TYPO3 Blogger » Georg Ringer

Unsichere Extensions & SEO vertragen sicht nicht

Georg Ringer — Mon, 14 May 2012 18:25:56 +0000

Als Mitglied des TYPO3 Security Team liegt einem die Sicherheit des Webs und insbesonders von TYPO3 am Herzen. Gerade eben bin ich auf eine einfache Tatsache gestoßen: Unsichere Extensions und Suchmaschinenoptimierungen vertragen sich nicht.

Ein Bericht von gerade eben
Man surft so vor sich hin, kommt auf eine TYPO3-Seite und sieht an den Parametern in der URL dass es sich a) um eine pibase-Extension handelt, dass es b) keinen cHash gibt und daher eher gepfuscht wurde (USER_INT wird nicht benötigt). Testweise ein 'x' an die ID angehängt zeigt, dass aufgrund eines nichtvorhandnenen Extension-Inhaltes entweder sehr genau kontrolliert wird oder gar nicht. Ein ' AND 1=1' zeigt den Inhalt wieder und bestätigt zweiteres.

Und hier ein Aufruf, besonders an Agenturen und alle die interne Extension über Kundenprojekte hinweg einsetzen: Hier sollte ganz besonders wert darauf gelegt werden, dass die Extension sauber ist, weil sonst rächen sich die verkauften SEO-Zusatzpakete. Google sagt bei der Suche nach ‘inurl:tx_extensionkey_pi1′: Mehr als 640.000 Treffer … ooops (ja ich weiß, es sind nicht 640.000 Unique Kunden, aber es sind noch genügende).

Extension ist nicht im TER, sonst würd ich das hier nicht schreiben, Agentur ist informaiert, ich bin gespannt — könnten arbeitsreiche Tage werden

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

Features in 6.0

Georg Ringer — Mon, 14 May 2012 05:35:58 +0000

Ich möchte die Artikelserie “Was gibt es neues in Major-Releases” schon jetzt aufleben lassen, denn es passiert einiges für die Version 6.0. Den aktuellsten Stand bekommt man am besten mit, wenn man sich einfach den Master-Branch des Core-Projektes auf git.typo3.org holt.

Zu Beginn ein kleines Feature das gerade Entwickler freuen dürfte: Klassennamen in der Datei ext_autoload.php können nun auch Großbuchstaben enthalten. Das passende Issue dazu ist http://forge.typo3.org/issues/37110.

Schreib doch bitte in den Kommentaren ob du solche Infos lieber gesammelt und dafür seltener oder öfter und dafür 1-2 Neuerungen pro Artikel lesen willst, danke.

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

T3BOARD13 wieder auf der Schmittenhöhe

Georg Ringer — Fri, 11 May 2012 14:25:07 +0000

Wie gerade auf typo3.org bekanntgegeben wurde, ist die nächste T3BOARD13 wieder in Österreich. Alle Details gibt es unter http://typo3.org/news/article/t3board13-confirmed-to-be-back-in-austria-schmittenhoehe-zell-am-see-15022013-22022013/

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

Meeting TYPO3 Usergroup Austria

Georg Ringer — Fri, 03 Feb 2012 14:48:19 +0000

Am Dienstag, 7.2.2012 19:00, findet in Linz die TUGA20 statt. Jeder ist herzlich dazu eingeladen.

Philipp Bergsmann von Opendo und meinerseits von CYBERHOUSE versuchen die Mettings der TUGA wieder etwas regelmäßiger abzuhalten und halten uns hierbei an den Zeitplan der Münchner Kollegen von MTUG mit diesen Terminen (immer 19:00):

7. Februar
6. März
3. April
8. Mai
5. Juni
3. Juli
7. August
4. September
9. Oktober
6. November
4. Dezember

Als Location wird abwechselnd zwischen Linz und Wien gewechselt.

Dieses mal im Walker

Hauptplatz 21
4020 Linz

Wenn du kommst, wäre es super wenn du dich unverbindlich unter http://www.tuga.at/index.php?id=690 anmeldest

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

Suggestwizard nun auch in Flexforms möglich – Türchen 8

Georg Ringer — Thu, 08 Dec 2011 07:00:53 +0000

Die schönsten Weihnachtsgeschenke macht man sich manchmal doch selbst. Mit den nächsten Releases von 4-5, 4-6, 4-7 ist der Suggestwizard auch in Flexform-Feldern möglich.

Seit einiger Zeit bietet der dieser Wizard im TCA die praktische Möglichkeit, Relationen zu anderen Tabellen über ein Suggest-Feld hinzuzufügen. Grundsätzlich sind Flexforms dem TCA sehr ähnlich und verwenden die gleiche Syntax (statt PHP einfach XML) zur Konfiguration. Dennoch gibt es ein paar Unterschiede, die mit dem Merge des Tickets #22232 gelöst wurden.

Eine beispielhafte Konfiguration

>
	>
		>1>
		>LLL:EXT:lang/locallang_general.xml:LGL.startingpoint>
		>
			>group>
			>db>
			>pages>
			>3>
			>50>
			>0>
			>1>
			>
				>
					>suggest>
				>
			>
		>
	>
>

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

Roadmap 4-7

Georg Ringer — Tue, 15 Nov 2011 07:59:40 +0000

Gerade wurden die Notizen des 1. TYPO3 Release Team Meeting von 4-7 veröffentlicht. Darin ist auch die Roadmap der nächsten Version enthalten deren Ziel ein Release der finalen Version am 24.4.2012 ist.

Roadmap

Release of alpha1: November 29th 2011
Release of alpha2: December 20th 2011
Release of alpha3: January 10th 2012
backend-UI-freeze: Janurary 24th 2012
Release of beta1: February 7th 2012 (feature freeze)
Release of beta2: March 6th 2012
Release of beta3: March 27th 2012
Release of RC1: April 10th 2012
Release of final: April 24th 2012

Die Schwerpunkte sind Standards und Accessibility. Davon wurde mit dem BLE-Projekt schon einiges umgesetzt. Der Feature Freeze ist schon relativ nahe und wie immer wird die Zeit bis dorthin knapp werden, daher wird es für jede der 12 Wochen einen Schwerpunkt in der Entwicklung geben.

Die Releasenotes sind auch online unter http://forge.typo3.org/projects/typo3v47-projects/wiki/1st_Release_Team_Meeting_TYPO3_47 abrufbar, diskutiert kann darüber am besten in der v4 Mailingliste.

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

Security Bulletin typo3-ext-sa-2011-012

Georg Ringer — Wed, 28 Sep 2011 09:28:19 +0000

Gerade eben wurde vom Security Team ein erneutes Security-Bulletin veröffentlicht, das insgesamt 14 Extensions umfasst. Alle weiteren Informationen wie immer auf typo3.org.

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

Extension socials veröffentlicht

Georg Ringer — Tue, 13 Sep 2011 04:21:08 +0000

Gestern habe ich eine weitere Extension namens “socials” im TER veröffentlicht. Diese soll als Sammeltopf für alle Belange im Socials-Sektor dienen.

Ich gebe zu, ich habe nicht jede Extension des TER ausprobiert, die Facebook, Twitter & Co in ihrem Namen hat, aber doch ein paar. Das Ziel der Extension ist allerdings, alles bzw. soviel wie möglich unter einen Hut zu bekommen. Die Extension steckt von den Featuren her noch in den Kinderschuhen, die Planungen sind allerdings schon weiter fortgeschritten.

Aktuelle Features:

Share Buttons für Facebook, Twitter, Google+ auf Basis von Extbase & Fluid.
Integration der 2click-Variante von heise.de
Gut dokumentierte ViewHelper, die sich auch problemlos in andere Extensions integrieren lassen.

Geplante Features:

weitere Buttons wie Addthis
verbesserte Konfigurationsmöglichkeiten der ViewHelper über TypoScript
Integration der Twitter-API zum Sharen von Content via Backend
Integration der Facebook-API zum Sharen von Content via Backend
Integration von anderen Social-API-Funktionen wie das Einbinden von Fotoalben von FB

Link zur Extension: http://typo3.org/extensions/repository/view/socials/current/

Gerne werden weitere Wünsche entgegengenommen, sei es über die Kommentarfunktion hier oder über Forge.

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

Extension “news” im TER veröffentlicht

Georg Ringer — Fri, 09 Sep 2011 07:50:15 +0000

Vor wenigen Minuten habe ich mein aktuell größtes Projekt ins TER geladen, die Extension “news”, ehemalig als “news2″ bekannt.

Die Extension “news” basiert auf Extbase & Fluid und ist für mich der Nachfolger von tt_ news, ist von dieser aber komplett unabhängig. Die wichtigsten Links:

Die Features

Basierend auf Extbase & Fluid
Minimierung auf das wesentliche: Es gibt kein List/Latest 1-10 sondern nur 1 Listenansicht
Medienelemente via Relation
Medienelemente default mit Videos & HTML möglich, DAM bereits vorgesehen (noch ein Todo fürs Frontend)
Neuen Features wie der TCA-Tree
Social-Buttons für Facebook, Twitter, Google+ usw schon vorgesehen
…

Die Extension wird schon von einigen Agenturen produktiv eingesetzt, ist also in der Praxis erprobt.

Ich freue mich auf Feature- und Bugreports, sonstige Tests und Meinungen

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

Sicherheitslücken in Extensions

Georg Ringer — Thu, 25 Aug 2011 11:58:31 +0000

Gerade eben wurde vom Security Team die Information veröffentlicht, dass es in 2 Extensions Sicherheitslücken und das passende Update dazu gibt. Es handelt sich dabei um formhandler und pbsurvey.

formhandler

In Formhandler wurden SQL Injection und XSS gefixt, Info unter: http://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2011-003/
Gefixte Version: 0.9.15

pbsurvey

In der Extension pbsurves war XSS möglich, Info unter http://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2011-004/
Gefixte Version 1.3.1

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

TYPO3 Releases 4.5.5, 4.4.10 and 4.3.13

Georg Ringer — Tue, 16 Aug 2011 12:09:43 +0000

Gerade eben wurden neue TYPO3-Versionen veröffentlicht. Wie immer gibts alle Informationen dazu auf typo3.org.

Das Release war wegen 2 Fehlern leider notwendig:

JS im FE-Popup war doppelt enkodiert
Der Security-Fix bzgl. dem fonttag wurde überarbeitet, sodass nicht alle Installationen angepasst werden müssen.

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

Neues in 4-6: Übersetzungen in Listenansicht ausblenden

Georg Ringer — Wed, 03 Aug 2011 15:54:41 +0000

Mit einer TsConfig-Einstellung lassen sich Übersetzungen in der Listenansicht ausblenden. Mit der Einstellung mod.web_list.hideTranslation kann man Übersetzungen ausblenden, sofern man die Checkbox “Localization view” nicht aktiviert hat. In dieser werden die Übersetzungen weiterhin angezeigt. Als Wert ist entweder ‘*’ oder eine kommaseparierte Liste der Tabellennamen gültig. Forge-Ticket: http://forge.typo3.org/issues/23198 ------------------------------------------------------Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

Neues in 4-6: groupName

Georg Ringer — Tue, 02 Aug 2011 07:33:21 +0000

Ich plane für 4-6 wieder eine Reihe an Artikeln, die Features und Änderungen im 4-6 beschreiben. Den Anfang macht ein Einzeiler, der aus meiner Feder stammt und gerade für Extensionentwickler überaus nützlich ist. Die Möglichkeit, Datensätze im Wizard ”Neuer Datensatz” zu grupperien”.

Man nehme als Voraussetzung 2 verschiedene Extension mit deren Datensätzen. Das sieht folgendermaßen aus:

- Photogallery
--- Image
--- Category

- News
--- News record
--- Category
--- Tags

Man nehme an, dass beide Extensions von anderen Extensions erweitert werden und neue Datensätze dazukommen und man gelangt zu folgendem:

- Author for News
--- Author

- Photogallery
--- Image
--- Category

- Photogallery extended
--- Album

- News
--- News record
--- Category
--- Tags

Das ganze wird für einen selbst, aber vor allem für Redakteure unüberschaubar, da der Autor eigentlich zu den News gehören würde und das Album zur Photogallery. Problem ist, dass zum Gruppieren der Extensionkey verwendet wird, man also keine Möglichkeit hat (zumindest war mir keine bewusst), wie man das verbessern kann.

Die Lösung:

In der ctrl-Sektion in der jeweiligen ext_tables.php gibt es nun eine neue Eigenschaft “groupName”. Wenn man hier nun in der “Author for news”-Extension den Extensionkey der news-Extension einträgt, so bekommt man folgendes Ergebnis:

- Photogallery
--- Image
--- Category
--- Album

- News
--- News record
--- Category
--- Tags
--- Author

Schaut doch gleich viel besser aus!

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

Securityrelease für TYPO3 4-3, 4-4, 4-5

Georg Ringer — Wed, 27 Jul 2011 11:49:27 +0000

Gerade wurde die Veröffentlichung von 4.3.12, 4.4.9 und 4.5.4 bekannt gegeben. Alle Details gibt es auf typo3.org. Es handelt sich dabei sowohl um Lücken für das Frontend, als auch das Backend. Ein Update ist wie immer absolut empfehlenswert!

Frontent

XSS über den Parameter JSwindow von typolink.

Backend

Information Disclosure beim Backend-Login
Vermeidung der 5 Sekunden Sperre bei falschen Logindaten
XSS im Adminpanel
XSS im browse_links Popup
XSS im Recycler
XSS in den Flashmessages
Information Disclosure im Workspace-Modul
Information Disclosure durch css_styled_content
Sicherheitslücke im Handling von serialize/unserialize
Fehlerhafte Funktion removeXSS
Fehlende Checks in der ExtDirect-API

Vielen Dank an alle, die die Issues reporten, bearbeiten, lösen, testen und an der Realisierung eines sicheren TYPO3 teilhaben.

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!

Sicherheitslücke in phpmyadmin

Georg Ringer — Mon, 25 Jul 2011 12:42:35 +0000

Lang ist es her das es ein phpmyadmin Update ohne sicherheitsrelevanter Bugfixes gab Auch diesmal sollte man das Update schnell durchführen, weil folgende hoch eingestuften Angriffstypen möglich sind: Cross-Site Scripting, Local File Inclusion, Code Execution, Session Manipulation

Generell sollte phpmyadmin nicht auf Produktivsystemen eingesetzt werden!

Alle Infos gibt es im Security Bulletin.

------------------------------------------------------
Dies ist ein Post vom TYPO3 Blog typo3blogger.de!