Heute wurden Sicherheitsupdates für diverse Extensions veröffentlicht. Es wird empfohlen Updates zu machen und/oder die Extension abzulösen, wenn es keine neue Version gibt. Folgende Extensions sind betroffen:

• Multiple vulnerabilities in extension „File manager“ (ameos_filemanager) (Critical)
• Cross Site-Scripting in extension „T3Blog Extbase“ (t3extblog) (Medium)
• Cross Site-Scripting in extension „Recommend page “ (pb_recommend_page) (Medium)
• Cross Site-Scripting in extension „Formhandler“ (formhandler) (Low)
• Arbitrary File Disclosure in extension „restler“ (restler) (Medium)
• Cross Site-Scripting in extension „CAB FAL search“ (falsearch) (Low)
• Cross Site-Scripting in extension „Multishop“ (multishop) (Medium)

Nach den Sicherheitslücken, welche in den letzten Tagen bekannt gegeben wurden, ist auch noch eine in der „sb_akronymmanager„-Extension gefunden und behoben worden. Der Akronym Manager ist durch SQL Injection angreifbar. Es wird empfohlen dringend ein Update auf die aktuellste Version einzuspielen. Security Bulletin/News.

Heute wurden gleich eine Reihe von Sicherheitslücken in TYPO3 Extensions bekannt:

Frontend User Upload (feupload)
Typ: Arbitrary Code Execution
Risiko: Kritisch
Details: TYPO3-EXT-SA-2015-006

BE User Log (beko_beuserlog)
Typ: Cross-Site Scripting
Risiko: Mittel
Details: TYPO3-EXT-SA-2015-007

wt_directory (wt_directory)
Typ: SQL Injection
Risiko: Hoch
Details: TYPO3-EXT-SA-2015-008

Store Locator (locator)
Typ: SQL Injection
Risiko: Hoch
Details: TYPO3-EXT-SA-2015-009

Smoelenboek (ncgov_smoelenboek)
Typ: SQL Injection
Risiko: Hoch
Details: TYPO3-EXT-SA-2015-010

Developer Log (devlog)
Typ: SQL Injection
Risiko: Hoch
Details: TYPO3-EXT-SA-2015-011

FAQ – Frequently Asked Questions (js_faq)
Typ: SQL Injection
Risiko: Hoch
Details: TYPO3-EXT-SA-2015-012

Job Fair (jobfair)
Typ: Arbitrary Code Execution
Risiko: Hoch
Details: TYPO3-EXT-SA-2015-013

Das TYPO3 Security Team empfiehlt, die betroffenen Extensions möglichst schnell zu aktualisieren oder ansonsten zu deinstallieren.

Gestern Abend wurde TYPO3 6.2.10 veröffentlicht. Dieses Wartungs-Release beinhaltet über 200 behobene Fehler und vor allem signifikante Performance Verbesserungen.

Die bestehenden Funktionen zum Laden von PHP-Klassen wurden mit der Autoloader-Funktionalität des Composer Projekts verbessert. Dies ist ein Backport von TYPO3 7.1 und beschleunigt Aufrufe sowohl von Frontend-Seiten als auch des TYPO3 Backends um bis zu 20%, vor allem auf Webseiten mit nicht gecachten Frontend-Seiten.

Die Rückportierung zu TYPO3 6.2.10 lädt alle PHP-Klassen aus den erforderlichen Systemerweiterungen über eine statische Klassenzuordnung auf der Grundlage des PSR-4-Standards. Alle anderen PHP-Klassen werden immer noch über die bestehende TYPO3-interne Klassenlader geladen.

Details über die Integration und die Funktionen werden im Wiki aufgelistet. Die Release Notes und das Changelog finden sich hier.

Der Download ist wie üblich über http://typo3.org/download/ oder alternativ http://get.typo3.org/ möglich.

Fast parallel zu dem kritischen Fehler im „alten“ TYPO3 Kern der letzten Woche, wurde auch ein Cross-Site Scripting Fehler in der gridelements-Extension korrigiert und veröffentlicht (zum Bulletin). Der Fehler ist nicht super kritisch, jedoch wurde auch direkt Anschluss ein funktionales Update nachgereicht, was zahlreiche Korrekturen enthält. Ein Update lohnt sich somit auf jeden Fall…

Wie gestern bereits angekündigt wurde soeben die TYPO3 Version 4.5.40 veröffentlicht. Die neue Version schließt eine kritische Sicherheitslücke im TYPO3 Frontend Login Mechanismus, genauer gesagt in der Systemextension rsaauth. Frontend Benutzer können authentifiziert werden wenn man lediglich ihren Benutzernamen weiß.

Ob die eigene TYPO3 Installation von der Schwachstelle betroffen ist, kann anhand dieser Checkliste geprüft werden. Alle Bedingungen müssen erfüllt sein:

• TYPO3 Version 4.3.0 – 4.3.14, 4.4.0 – 4.4.15, 4.5.0 – 4.5.39 – 4.6.0 – 4.6.18
• Login Möglichkeit für Besucher der Webseite
• System Extension rsaauth ist aktiviert
• System Extension rsaauth ist wie folgt für die Frontend Benutzung konfiguriert:

  $GLOBALS['TYPO3_CONF_VARS']['FE']['loginSecurityLevel'] = 'rsa'

TYPO3 4.7 und neuer (also 6.x und 7.x) sind von der Sicherheitslücke NICHT betroffen.

TYPO3 4.5.40 steht auf http://typo3.org/download oder http://get.typo3.org zur Verfügung.

Alternativ werden ein Shell Script und ein Diff Patch angeboten. Auch damit kann die Sicherheitslücke geschlossen werden.

Aufgrund der Brisanz der Lücke empfiehlt das TYPO3 Security Team, das Update so schnell wie möglich zu installieren.

Weitere Details finden sich im Security Bulletin: TYPO3-CORE-SA-2015-001: Authentication Bypass in TYPO3 CMS 4.5