Fast parallel zu dem kritischen Fehler im „alten“ TYPO3 Kern der letzten Woche, wurde auch ein Cross-Site Scripting Fehler in der gridelements-Extension korrigiert und veröffentlicht (zum Bulletin). Der Fehler ist nicht super kritisch, jedoch wurde auch direkt Anschluss ein funktionales Update nachgereicht, was zahlreiche Korrekturen enthält. Ein Update lohnt sich somit auf jeden Fall…

Wie gestern bereits angekündigt wurde soeben die TYPO3 Version 4.5.40 veröffentlicht. Die neue Version schließt eine kritische Sicherheitslücke im TYPO3 Frontend Login Mechanismus, genauer gesagt in der Systemextension rsaauth. Frontend Benutzer können authentifiziert werden wenn man lediglich ihren Benutzernamen weiß.

Ob die eigene TYPO3 Installation von der Schwachstelle betroffen ist, kann anhand dieser Checkliste geprüft werden. Alle Bedingungen müssen erfüllt sein:

• TYPO3 Version 4.3.0 – 4.3.14, 4.4.0 – 4.4.15, 4.5.0 – 4.5.39 – 4.6.0 – 4.6.18
• Login Möglichkeit für Besucher der Webseite
• System Extension rsaauth ist aktiviert
• System Extension rsaauth ist wie folgt für die Frontend Benutzung konfiguriert:
  
  PHP

  $GLOBALS['TYPO3_CONF_VARS']['FE']['loginSecurityLevel'] = 'rsa'

  1	$GLOBALS['TYPO3_CONF_VARS']['FE']['loginSecurityLevel'] = 'rsa'

TYPO3 4.7 und neuer (also 6.x und 7.x) sind von der Sicherheitslücke NICHT betroffen.

TYPO3 4.5.40 steht auf http://typo3.org/download oder http://get.typo3.org zur Verfügung.

Alternativ werden ein Shell Script und ein Diff Patch angeboten. Auch damit kann die Sicherheitslücke geschlossen werden.

Aufgrund der Brisanz der Lücke empfiehlt das TYPO3 Security Team, das Update so schnell wie möglich zu installieren.

Weitere Details finden sich im Security Bulletin: TYPO3-CORE-SA-2015-001: Authentication Bypass in TYPO3 CMS 4.5

Das TYPO3 Security Team hat eine wichtige Vorankündigung veröffentlicht: Demzufolge wird am morgigen Donnerstag, 19. Februar 2015, gegen 10 Uhr die TYPO3 Version 4.5.40 veröffentlicht, die eine kritische Sicherheitslücke im TYPO3 Frontend Login Mechanismus schließen soll. Betroffen sind folgende TYPO3 Versionen:

• TYPO3 4.3
• TYPO3 4.4
• TYPO3 4.5
• TYPO3 4.6

TYPO3 4.7 und neuer (also 6.x und 7.x) sind von der Sicherheitslücke NICHT betroffen.

Ausgenutzt werden kann die Schwachstelle außerdem nur, wenn der Frontend Login Mechanismus verwendet wird.

Für nicht mehr unterstützte TYPO3 Versionen wird nach Möglichkeit ein Patch angeboten.

Alle Betreiber von betroffenen TYPO3 Webseiten sollten also dringend am Donnerstag Zeit reservieren und ihre TYPO3 Installationen aktualisieren!

Weitere Infos finden sich im Important Security-Bulletin Pre-Announcement TYPO3-PSA-2015-001

Wir hatten bereits vor einigen Wochen über die Inspiring Conference berichtet. Der Ticket-Verkauf läuft natürlich inzwischen, aber es gibt auch noch welche. Deshalb kurz die Erinnerung, für das Event was vom 26. – 28.03.2015 statt findet und den Fokus auf Neos und Flow setzt. Alle Infos  findet ihr auf der Webseite zum Event. Der Ticket-Preis startet bei 370€. Alle Interessenten sollten fix zuschlagen…

Die TYPO3 CMS Version 6.2.10 wurde als Release Candidate veröffentlicht. Dies bedeutet in diesem Fall, dass noch nicht 6.2.10 direkt veröffentlicht wurde, weil es innerhalb der TYPO3 CMS 6.2-Baumes nochmals Features gab. Benni Mack hat dies auf der TYPO3 Dev Liste ausführlich erläutert. Bei der Änderung geht es um die Einführung des Composer PSR-4 Autoloader, welche VOR dem TYPO3 Autoloader versucht die Klassen anhand der PSR-4 Richtlinien zu finden. Der Autoloader vom Composer ist deutlich schneller, da dieser nicht die TYPO3 Kompatibilität wie der TYPO3 Autoloader beachten muss. D.h. heißt dass Klassen welche anhand des neuen Namespace-Schema benötigt werden, schneller geladen werden können und ausschließlich die „alten“ Klasse (t3lib_div, t3lib_extMgm etc.), mittels des alten Loader geladen werden.

Diese Struktur bringt umfangreiche Performance-Verbesserungen mit sich, auf die ich mich sehr freue. Folgende Probleme werden damit adressiert (Quelle: TYPO3 Dev Mailinglist):

• Cache warmup takes a lot of time (first hit after clearing system caches)
• Locked-up installation because of clearing caches and hitting the frontend at the same time
• Less I/O requests to typo3temp/Cache/Data

Weitere Informationen zum ComposerClassLoader gibt es im typo3.org-Wiki.

Nun geht es darum die Version zu testen und kurzfristig Probleme zu melden, sodass zeitnah die TYPO3 CMS 6.2.10 Stable veröffentlicht werden kann. Die Version 6.2.10rc könnt ihr euch hier herunter laden.

Auf dem Twitter Account von t3coneu, wurde das Datum für die kommende TYPO3 Konfernez Europa bekannt gegeben. Somit: Save the date! Die Konferenz findet am 21. und 22. Oktober 2015 in Amsterdam statt. Weitere Infos gibt es im „This week in TYPO3“ auf typo3.org.