Das TYPO3 Security Team hat soeben das Security Bulletin TYPO3-CORE-SA-2013-001 zu zwei Sicherheitslücken im TYPO3 Core veröffentlicht. Demnach existiert in allen TYPO3 Instanzen, die Extbase Extensions nutzen, eine kritische SQL Injection Lücke wenn das Query Object Model genutzt wird und die Relationen durch Besucher erzeugt werden. (z.B. : $query->contains(‚model.categories‘, $userProvidedValue) )

Die zweite Sicherheitslücke betrifft das jumpURL Feature, das unter anderem von Direct Mail verwendet wird, um Zugriffe auf externe URLs z.B. aus Newslettern zu tracken. Um den Fehler zu beheben musste allerdings das bekannte Verhalten von TYPO3 verändert werden, so dass bereits erzeugte Links mit jumpURL nicht mehr funktionieren werden.

Wenn das jumpURL Feature verwendet wird, sollte als erstes der TYPO3 Cache gelöscht werden um zu verhindern, dass Links ohne den nötigen Überprüfungshash weiterhin funktionieren.

Für User, die unbedingt darauf angewiesen sind, dass alte jumpURLs weiterhin funktionen können diese Extension (t3x, zip) des Security Teams nutzen oder die Extension an eigene Bedürfnisse anpassen. Details dazu finden sich im Security Bulletin.

Die TYPO3 Versionen 4.5.24, 4.6.17, 4.7.9 oder 6.0.3 beheben die genannten Sicherheitslücken.

Das TYPO3 Security Team hat soeben mehrere Security Bulletins über Lücken in TYPO3 Extensions veröffentlicht:

TYPO3-EXT-SA-2013-003

• CoolURI (cooluri)
  Die Extension ist bis Version 1.0.29 anfällig für SQL Injection. Das Gefährungsrisiko wird als hoch eingestuft.

TYPO3-EXT-SA-2013-004

• Static Info Tables (static_info_tables)
  Die Extension ist bis Version 2.3.0 anfällig für Cross Site Scripting. Das Risiko wird als niedrig eingestuft, allerdings dürfte die Extension in den meisten TYPO3 Installationen vorhanden sein.

TYPO3-EXT-SA-2013-005

• Fluid Extbase Development Framework (fed)
• My quiz and poll (myquizpoll)
• RSS feed from records (push2rss_3ds)
• Slideshare (slideshare)
• WEC Discussion Forum (wec_discussion)

Wie immer empfiehlt das Security Team, die betroffenen Extensions so schnell wie möglich zu aktualisieren!

Das TYPO3 Security Team hat heute ein neues Security Bulletin für Sicherheitslücken in diversen TYPO3 Extensions veröffentlich. Betroffen sind folgende Extensions:

• Attac Calendar (attacalendar)
• Attac Petition (attacpetition)
• Subscription (eu_subscribe)
• Exinit job offer (exinit_joboffer)
• Frontend File Browser (fefilebrowser)
• Javascript and Css Optimizer (js_css_optimizer)
• From a csv-file to a html-table (kk_csv2table)
• SEO Pack for tt_news (lonewsseo)
• MySQL to JSON (mn_mysql2json)
• News Search (news_search)
• Tip-A-Friend Plus (tipafriend_plus)
• Twitter Auth Service (twitter_auth)
• sofortueberweisung2commerce (sofortueberweisung2commerce)
• UserTask Center, Messaging (sys_messages)

Die Sicherheitsprobleme in einigen der genannten Extensions werden mit kritisch oder hoch bewertet. Eine schnelle Überprüfung der eigenen Installationen ist also dringend angeraten.

Details zu den Sicherheitslücken finden sich im Security Bulletin TYPO3-EXT-SA-2013-002.

Das TYPO3 Security Team hat ein Security Bulletin wegen Sicherheitslücken in folgenden Extensions veröffentlicht:

• news
• onetimeaccount
• phpunit
• div2007
• t3mootools
• t3jquery
• oneclicklogin

Kritisch ist die Schwachstelle in der Extension onetimeaccount. Die Sicherheitslücken in den anderen Extensions werden als mittel oder gering eingestuft.

div2007 dürfte noch in vielen älteren Instanzen eingesetzt werden. Da die Extension als Abhängigkeit von anderen Extensions installiert wird, ist vielen möglicherweise nicht bewusst, dass die Extension installiert ist.

Für t3mootools gibt es aktuell keine aktualisierte Version, da der Extension Autor die Extension nicht weiter pflegen möchte. Vielleicht findet sich ja jemand, der die Wartung der Extension übernehmen möchte, denn t3mootools wird sich noch in einigen älteren Extensions eingesetzt.

Auch für oneclicklogin gibt es aktuell keinen Patch, dieser ist laut Extension Autor aber in Arbeit.

Wie immer empfehlt das Security dringend, die betroffenen Extensions zu aktualisieren oder zu löschen. Weitere Details finden sich im Security Bulletin TYPO3-EXT-SA-2013-001: Several vulnerabilities in third party extensions.

Durch ein internes Missverständnis im TYPO3 Security Team wurden erst heute zwei Security Bulletins veröffentlicht, die eigentlich bereits vom 25. Oktober und 21. Dezember stammen. Betroffen sind die Extensions commerce und formhandler.

TYPO3-EXT-SA-2012-012: Several Vulnerabilities in extension Formhandler (formhandler)

TYPO3-EXT-SA-2012-013: Several Vulnerabilities in extension commerce (commerce)

Für beide Extensions stehen Updates im TER bereit.

Im TYPO3 Core wurden diverse Schwachstellen (SLQ Injection, Cross-Site Scripting, Information Disclosure) gefunden. Ausnutzen lassen sich die Sicherheitslücken nur mit einem gültigen TYPO3 Backend Account. Details finden sich wie immer im Security Bulletin. Geschlossen werden die Sicherheitslücken mit diesen drei neuen TYPO3 Versionen:

• 4.5.21
• 4.6.14
• 4.7.6