Several vulnerabilities have been found in the following third party TYPO3 extensions:

• mm_forum (mm_forum) – Critical
• Statistics (ke_stats) – Critical
• News (tt_news) – High
• Yet Another Gallery (yag) – High
• Tools for Extbase development (pt_extbase) – High
• femanager (femanager) – High
• TYPO3 Security / Intrusion Detection System (px_phpids) – High
• Direct Mail Subscription (direct_mail_subscription) – Medium
• Alphabetic Sitemap (alpha_sitemap) – Medium
• External links click statistics (outstats) – Medium
• smarty (smarty) – Medium
• WEC Map (wec_map) – Medium

For further information on the issue in the extension mm_forum (mm_forum), please read the related advisory TYPO3-EXT-SA-2014-001 that was published today:
http://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2014-001/

For further information on the issue in the extension News (tt_news), please read the related advisory TYPO3-EXT-SA-2014-003 that was published today:
http://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2014-003/

For further information on the issue in the extension Direct Mail Subscription (direct_mail_subscription), please read the related advisory TYPO3-EXT-SA-2014-004 that was published today:
http://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2014-004/

For further information on the issue in the extensions Yet Another Gallery (yag) and Tools for Extbase development (pt_extbase), please read the related advisory TYPO3-EXT-SA-2014-005 that was published today:
http://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2014-005/

The Collective Security Bulletin TYPO3-EXT-SA-2014-002 for the remaining extensions was also published today:
http://typo3.org/teams/security/security-bulletins/typo3-extensions/typo3-ext-sa-2014-002/

Heute wurden die TYPO3 CMS Versionen 4.5.32, 4.7.17, 6.0.12 und 6.1.7 veröffentlicht (News). Für alle Versionen wurden 10 Sicherheitslüchen geschlossen (Details), welche nicht hochkritisch sind, aber ein Update sollte dennoch durchgeführt werden. Vielen Dank an das Security Team! Die neuen Versionen gibt es natürlich auf der typo3.org Seite unter http://typo3.org/download/ oder aber auch unter get.typo3.org.

Das TYPO3 Security Team hat soeben ein neues Security Bulletin herausgegeben. Im Gegensatz zu den Schwachstellen im TYPO3 Core, die Ende Juli geschlossen wurden, sind diesmal nur TYPO3 Versionen von 6.0 aufwärts betroffen, da alle Sicherheitslücken im File Abstraction Layer Modul zu finden sind. Zum einen werden die Zugriffsrechte nicht korrekt geprüft, zum anderen besteht die Möglichkeit, fremden Code auszuführen.

Ein Update auf TYPO3 6.1.4 bzw. 6.0.9 behebt die Schwachstellen. Wichtig ist, dass nach dem Update alle Caches und zudem das gesamte Verzeichnis typo3temp/Cache gelöscht werden.

Administratoren sollten Dateiberechtigungen für Backend-Benutzer oder Gruppen mit benutzerdefiniertem TS Config anstatt über die Checkboxen in den Benutzer- oder eine Gruppendatensätzen setzen. Dies ermöglicht eine feiner granulierte Steuerung für einzelne Datei-Aktion Berechtigungen. Ein Beispiel dazu findet sich im Security Bulletin.

Die Remote Code Execution Schwachstelle bezieht sich auf die bereits im letzten Security Bulletin genannte Lücke, die aber noch nicht ausreichend gestopft wurde.

Alle Details zu den genannten Sicherheitslücken finden sich im Security Bulletin TYPO3-CORE-SA-2013-003.

Die Sicherheitslücken in formhandler werden als hoch eingestuft, da sie SQL-Injection, Arbitrary Code Execution und Authentication Bypass ermöglichen.

Details: TYPO3-EXT-SA-2013-012

sr_feuser_register ist von einer Cross-Site-Scripting Lücke betroffen.

Details: TYPO3-EXT-SA-2013-011

Für beide Extensions stehen Updates zur Verfügung.

Die TYPO3 Extensions browser, ke_search, locator, realurlmanagement und wfqbe enthalten zum Teil kritische Sicherheitslücken. Für alle genannten Extensions bis auf realurlmanagement wurden aktualisierte Fassungen bereitgestellt. Ein Update der Extensions bzw. die Entfernung von realurlmanagement werden dringend empfohlen.

Details zu den Sicherheitslücken finden sich im Security Bulletin TYPO3-EXT-SA-2013-013.

Die Dateiupload Komponente und das File Abstraction Layer (FAL) in TYPO3 6.x prüfen Uploads nicht auf verbotene Dateiendungen (konfigurierbar im Install Tool). Das ermöglicht Backend Benutzern zum Beispiel das Hochladen von PHP Dateien mit beliebigem Code, der dann im Kontext des Webservers ausgeführt werden kann.
Ein Update auf TYPO3 6.0.8 oder 6.1.3 behebt diese kritische Sicherheitslücke.

Weitere Sicherheitslücken in TYPO3 4.5 bis 6.1

Eine weitere Sicherheitslücke betrifft alle TYPO3 Versionen seit TYPO3 4.5: Im Lieferumfang von TYPO3 befindet sich die Third Party Erweiterung FlowPlayer zum Abspielen von Videos und Musik. Diese Erweiterung ist anfällig für Cross-Site Scripting. Ein Update auf TYPO3 4.5.29, 4.7.14, 6.0.8 oder 6.1.3 behebt auch dieses Problem.

Weitere Details zu den genannten Sicherheitslücken finden sich im Security Bulletin TYPO3-CORE-SA-2013-002.