19. Februar 2015

Kritische Sicherheitslücke im TYPO3 4.5 Frontend Login

in Bugs, Releases, Security, TYPO3

TYPO3_SecurityWie gestern bereits angekündigt wurde soeben die TYPO3 Version 4.5.40 veröffentlicht. Die neue Version schließt eine kritische Sicherheitslücke im TYPO3 Frontend Login Mechanismus, genauer gesagt in der Systemextension rsaauth. Frontend Benutzer können authentifiziert werden wenn man lediglich ihren Benutzernamen weiß.

Ob die eigene TYPO3 Installation von der Schwachstelle betroffen ist, kann anhand dieser Checkliste geprüft werden. Alle Bedingungen müssen erfüllt sein:

  • TYPO3 Version 4.3.0 – 4.3.14, 4.4.0 – 4.4.15, 4.5.0 – 4.5.39 – 4.6.0 – 4.6.18
  • Login Möglichkeit für Besucher der Webseite
  • System Extension rsaauth ist aktiviert
  • System Extension rsaauth ist wie folgt für die Frontend Benutzung konfiguriert: 
    $GLOBALS['TYPO3_CONF_VARS']['FE']['loginSecurityLevel'] = 'rsa'

TYPO3 4.7 und neuer (also 6.x und 7.x) sind von der Sicherheitslücke NICHT betroffen.

TYPO3 4.5.40 steht auf http://typo3.org/download oder http://get.typo3.org zur Verfügung.

Alternativ werden ein Shell Script und ein Diff Patch angeboten. Auch damit kann die Sicherheitslücke geschlossen werden.

Aufgrund der Brisanz der Lücke empfiehlt das TYPO3 Security Team, das Update so schnell wie möglich zu installieren.

Weitere Details finden sich im Security Bulletin: TYPO3-CORE-SA-2015-001: Authentication Bypass in TYPO3 CMS 4.5

7 Reaktionen zu “Kritische Sicherheitslücke im TYPO3 4.5 Frontend Login”

Kommentare abonnieren (RSS) oder TrackBack URL

Danke für die zusammenfassenden Infos!

War es eigentlich schon immer so, dass z.B. unter http://get.typo3.org/6.2 nicht die letzte Stable, sondern ein Release Candidate angeboten wird? Bei allen anderen Versionen verhält es sich mMn korrekt.

Malte am 19. Februar 2015 um 17:17

Jup… es gibt ja nicht so viele RC Versionen im laufenden Bugfixing-Prozess… deshalb fällt einem das immer kaum auf, dass die auch über get.typo3.org zu beziehen sind…

Grüße,
Tim

Tim Lochmüller am 19. Februar 2015 um 20:37

Das Verhalten ist in der Tat neu. Weitere Infos dazu findest du hier: https://forge.typo3.org/issues/64934
Bitte auch gerne in Forge kommentieren.

Peter Kraume am 19. Februar 2015 um 21:25

Ah, gut zu wissen. Ich habe das Ticket mal ergänzt.

Malte am 20. Februar 2015 um 09:51

Selbst schuld wenn man noch so eine Uraltversion wie 4.5 benutzt. 6.2 ist ja nicht erst gestern rauagekommen.

etgfjdhehehe am 20. Februar 2015 um 19:38

„Selbst schuld“ finde ich jetzt keinen hilfreichen Kommentar, oftmals geht es da ja um lange bestehende Websites von z.B. Vereinen, die kein entsprechendes Know-How für ein Update und auch kein Geld für professionelle Hilfe haben.

Thomas am 22. Februar 2015 um 18:54
Trackbacks & Pingbacks

[…] zu dem kritischen Fehler im “alten” TYPO3 Kern der letzten Woche, wurde auch ein Cross-Site Scripting Fehler in der gridelements-Extension korrigiert und […]

Pingback von Cross-Site Scripting in Gridelements | TYPO3 Blogger am 21. Februar 2015 um 17:33

Kategorien

Archiv