30. Juli 2013

Kritische Sicherheitslücke in TYPO3 6.x

in Bugs, Releases, Security, TYPO3

Die Dateiupload Komponente und das File Abstraction Layer (FAL) in TYPO3 6.x prüfen Uploads nicht auf verbotene Dateiendungen (konfigurierbar im Install Tool). Das ermöglicht Backend Benutzern zum Beispiel das Hochladen von PHP Dateien mit beliebigem Code, der dann im Kontext des Webservers ausgeführt werden kann.
Ein Update auf TYPO3 6.0.8 oder 6.1.3 behebt diese kritische Sicherheitslücke.

Weitere Sicherheitslücken in TYPO3 4.5 bis 6.1

Eine weitere Sicherheitslücke betrifft alle TYPO3 Versionen seit TYPO3 4.5: Im Lieferumfang von TYPO3 befindet sich die Third Party Erweiterung FlowPlayer zum Abspielen von Videos und Musik. Diese Erweiterung ist anfällig für Cross-Site Scripting. Ein Update auf TYPO3 4.5.29, 4.7.14, 6.0.8 oder 6.1.3 behebt auch dieses Problem.

Weitere Details zu den genannten Sicherheitslücken finden sich im Security Bulletin TYPO3-CORE-SA-2013-002.

8 Reaktionen zu “Kritische Sicherheitslücke in TYPO3 6.x”

Kommentare abonnieren (RSS) oder TrackBack URL

Früher wären solche dicken Bugs nicht in Majorreleases aufgetaucht.

typo3ler am 30. Juli 2013 um 16:07

Ist der FlowPlayer auch eine Gefahr wenn man keine Videos & Musik auf dem Server eingebunden hat? sprich den player nirgends nutzt?

Mike am 31. Juli 2013 um 10:22

taucht das auch im 6.2 Ast auf?

kim am 31. Juli 2013 um 10:40

@kim
„Affected Versions: All versions from 4.5.0 up to the development branch of 6.2“

Jan am 31. Juli 2013 um 12:45

Unter dem Erweiterungsmanager ist die Extension nicht zu finden. Besteht das Problem auch, wenn der Player gar nicht verwendet wird?

MRO am 06. August 2013 um 11:38

@MRO: du meinst den FlowPlayer? Der ist keine Extension sondern wird nur als Code im Core von TYPO3 mitgeliefert.

Nachdem es sich beim Flowplayer um eine XSS Schwachstelle handelt, nehme ich mal an, dass es kein Problem ist, solange man den Flowplayer nicht verwendet. Das ist aber meine persönliche Einschätzung.

Peter Kraume am 06. August 2013 um 11:47
Trackbacks & Pingbacks

[…] Problem ergibt sich laut TYPO3 Blogger aus dem Fakt, dass die Dateiupload-Komponente und das File Abstraction Layer (FAL) in TYPO3 6.x […]

Pingback von Kritische Sicherheitslücke in TYPO3 » t3n am 02. August 2013 um 12:05

[…] ein neues Security Bulletin herausgegeben. Im Gegensatz zu den Schwachstellen im TYPO3 Core, die Ende Juli geschlossen wurden, sind diesmal nur TYPO3 Versionen von 6.0 aufwärts betroffen, da alle Sicherheitslücken im […]

Pingback von Erneut kritische Sicherheitslücken in TYPO3 6.x | TYPO3 Blogger am 04. September 2013 um 16:58

Kategorien

Archiv