Und täglich grüßt das Murmeltier. Die Sicherheitsprobleme in phpMyAdmin tauchen in lässtiger Regelmäßigkeit immer wieder auf. Die Details zur aktuellen Sicherheitslücke finden sich wie immer im Security Bulletin.

Das Security Team emfiehlt dringend, die Extension phpMyAdmin nur auf Entwicklungsmaschinen zu nutzen. Besser ist eine Stand Alone Installation von phpMyAdmin, die per .htaccess geschützt ist.

Das TYPO3 Security hat eine schwere Sicherheitslücke in der TYPO3 Extension ke_search bekannt gegeben. Es besteht die Möglichkeit einer SQL Injection. Eine aktualisierte Version 0.3.1 ist im TER verfügbar. Das Update wird dringend empfohlen!

Das Security Bulletin ist hier verfügbar.

Florian und Mirko von Mittwald haben Sicherheitskozepte für TYPO3 Hosting vorgestellt. Nach ein paar Mittwald Facts, ab ins Thema…

Begonnen bei der Systemsicherheit vielen Schlagwörter wie CHROOT-Technik, detailliertes Monitoring, Linux (monolithische Kernal) und Anonymisierung nach draußen. Das Kundencenter soll natürlich dem Kunden helfen die Features zu benutzen. Der Softwaremanager bietet Ein-Klick-Installationen mit den benötigten Komponenten, der Versionsmanager die passenden Updates.

Sicherheits-Services werden im Hintergrund automatisch durchgeführt (das betrifft z.B. Sicherheitspatches und Wartung-E-Mails). Der Wiederherstellungsmanager bietet die Möglichkeit alte Zustände wiederherzustellen. Alle Aktionen werden mit E-Mails bestätigt.

Leider gab es wenig Informationen zu sicherem Hosting(habe mir technische Details gewünscht ), sondern es war mehr eine Verkaufssession. Dennoch einige interssante Funktionen welche man gerne bei einem Hoster sieht.

Letzte Woche wurde der Security Bulletin TYPO3-SA-2011-006 veröffentlicht. In dem Bulletin ging es um die Extensions “Photogallery (ce_gallery)” und “SEO Photogallery by Evorion (evgallery)”, welche beide für SQL Injections anfällig waren. Zu beiden Erweiterungen gibt es ein Update im TER, welches dringend eingespielt werden sollte.

Wie schon seit einem Posting hier bekannt, gab es in der Extension powermail Sicherheitslücken, die mit der Version 1.6.3 behoben sind. Wie immer der Rat: Schnell updaten und Sicherheitslücken an das Security-Team melden. Hier das offizielle Statement.

Seit ein paar Monaten macht eine neue Art von Website Hack die Runde: der Google Conditional Hack. Dabei wird PHP Code in die Webseite eingeschleust, der den Useragent des Besuchers auswertet. Wenn der Googlebot erkannt wird, hängt der Schadcode einen HTML Schnippsel mit Links zu Viagra oder Cialis Produkten an die Seite an, die dann natürlich auch promt im Google Cache landen. Alternativ wird auch gleich der gesamte Inhalt der Webseite durch einen Viagra Shop ersetzt. Wird die Seite normal über den Browser aufgerufen, bekommt man davon nichts weiter mit.
Weiterlesen "Die eigene Webseite als Spam Schleuder: der Google Conditional Hack"