09. April 2010

Security Bulletin TYPO3-SA-2010-008 – Release 4.3.3

in Releases, Security

Wie bereits angekündigt ist gerade eben eine neue TYPO3 Version veröffentlicht worden. Betroffen sind alle 4.3.x Versionen, bei denen bestimmte Voraussetzungen zutreffen. Alle Details im Security Bulletin.

Voraussetzungen:

  • register_globals, allow_url_include, allow_url_fopen auf on
  • TYPO3 4.3.x bzw 4.4.x
  • Suhosin wird nicht verwendet bzw. URL Schemas sind in der whitelist

Die Auswirkungen bei betroffenen Installationen können fatal sein, da es möglich ist, fremden Code auszuführen!

Mögliche Lösungen:

  • Update auf 4.3.3 bzw. aktuelle SVN-Version bei 4.4.
  • register_globals, allow_url_include oder allow_url_fopen auf off
  • Den im Bulletin zu findenden Patch verwenden (für alle, die nicht auf eine höhere Version updaten wollen)
  • Die im Bulletin zu findenden gefixten Files verwenden (für alle, die sich mit patchen nicht auskennen)
  • Folgende mod_security-Regel verwenden: SecRule  ARGS:error  „^(https?|ftp)“  „deny“

Achtung!

Die Lücke wurde bereits ausgenützt, daher ist es wirklich wichtig zu aktualisieren wenn Installationen die Voraussetzungen erfüllen!

7 Reaktionen zu “Security Bulletin TYPO3-SA-2010-008 – Release 4.3.3”

Kommentare abonnieren (RSS) oder TrackBack URL

Wenn die Downloads von Typo3 guter Code wären, hätte das Update zu 4.3.3 keine Probleme gemacht. Danach ist nämlich das Login-Feld fürs Backend nicht aufrufbar und es bleibt eine weiße Seite!

maddin am 12. April 2010 um 09:24

„guter Code“, „weiße Seite“?!? Glaube bei dir ist irgendwas anderes nicht ganz richtig. Haben bei keiner Installation Probleme mit 4.3.3

Tim Lochmüller am 12. April 2010 um 09:33

update von welcher verstion? bzw schalt mal die php errors ein

Georg Ringer am 12. April 2010 um 11:18

Verstehe ich nicht. Die ersten Update´s haben bei mir ohne Probleme funktioniert. Es ist kein Problem aufgetaucht. Mal sehen wie es bei weiteren Systemen läuft.

Vielleicht hat der Kollege von einer älteren T3-Version upgedatet und die Extension „chloginskin“ im Einsatz. Die funzt nämlich nicht mehr in 4.3.x-Versionen. Und dann sieht die Loginmaske sehr seltsam aus. Auch das Backend macht dann Probleme. Einfach die Ext deinstallieren und das Problem ist verschwunden 😉
Beste Grüsse, Michael

Michael am 12. April 2010 um 16:47

Ok prima, habe mittlerweile bei über 30 TYPO3´s Updates gemacht und bisher keine Problem entdecken können 😉

Grüsse, Michael

Michael am 12. April 2010 um 20:46

Hallo,

nachdem ich nun die Datei heruntergeladen habe und erneut hochgeladen habe, funzt alles. Hatte die 4.3.2 Version auf dem Server. Bin nämlich ein notorischer Updater, da ich ne wichtige Seite am Laufen habe und keine Ausfälle gebrauchen kann.
Ich nutze nicht die chloginskin Extension. So etwas brauche ich nicht.
Danke trotzdem!

maddin am 12. April 2010 um 20:36
Trackbacks & Pingbacks

[…] Dieser Eintrag wurde auf Twitter von Ausweisnahme Netda, markus waskowski erwähnt. markus waskowski sagte: #TYPO3 upgraden!!! aber schnell 😉 http://twurl.nl/aq46go …ich habe fertig […]

Pingback von Tweets die Security Bulletin TYPO3-SA-2010-008 – Release 4.3.3 | TYPO3 Blogger erwähnt -- Topsy.com am 09. April 2010 um 13:50

Kategorien

Archiv