Wie die Typo3 Association in einem Security Bulletin [1] mitteilt, ist die jumpUrl-Funktion das schwache Glied in der Kette: Normalerweise dazu da, um den Zugriff auf Webseiten zu messen, macht der Mechanismus unter Umständen einen geheimen Hash öffentlich, der den vollen Zugriff auf alle Dateien des Webservers erlaubt. Dazu zählt unter anderem auch die Datei typo3conf/localconf.php, in der sich das Passwort für das Installations-Tool sowie die Zugangskennung zur Datenbank finden.
Betroffen sind die Versionen 3.3.x, 3.5.x, 3.6.x, 3.7.x, 3.8.x, 4.0 bis 4.0.11, 4.1.0 bis 4.1.9, 4.2.0 bis 4.2.5 sowie 4.3alpha1. Um das Einfallstor zu schließen, wird zum einen ein Update auf die Versionen 4.0.12, 4.1.10 oder 4.2.6 empfohlen, die nicht unter der Sicherheitsproblematik leiden. Auch das Einspielen eines Patches oder die manuelle Änderung im betroffenen PHP-File sollen das Problem aus der Welt schaffen.
Meldung
Typo3 mit kritischer Sicherheitslücke
Im freien Content Management System (CMS) Typo3 hat sich ein kritisches Sicherheitsleck offenbart. Angreifern ist es unter Ausnutzung einer Schwachstelle möglich, auf beliebige auf dem Webserver abgelegte Dateien zuzugreifen.
Weitere Infos:
[1] http://typo3.org/teams/security/security-bulletins/typo3-sa-2009-002/
Tipps & Tools
Gemeinsam gegen Hacker [30.07.2010]
Geht es um die Sicherheit im Unternehmen, sind die Angreifer meistens ebenso schnell bei der Entwicklung von Schadprogrammen wie die Anbieter neuer Security-Lösungen - wenn nicht schneller. Daher schadet es nicht, neben der Hard- und Software der Sicherheitsinfrastruktur auch dem Gespür anderer IT-Kollegen zu vertrauen und sich in Sachen aktueller Gefahren auszutauschen. Mit dem neuen 'Anti-Hack Forum' steht eine entsprechende Internet-Community bereit. [mehr]
Eine Frage der Sicherheit [20.07.2010]
Geht es um die IT-Sicherheit, ist wohl jedem Admin an einem möglichst umfassenden Schutz gelegen - im Idealfall gepaart mit minimalem Aufwand. Um die Sicherheitsansprüche von KMU-Betrieben besser einschätzen zu können, führt BitDefender in Kooperation mit IT-Administrator eine Sicherheitsumfrage durch, in der es um die Security-Standards in Unternehmen geht. Unter den Teilnehmern verlost der Hersteller unter anderem ein Apple iPad. [mehr]
Spuren auf Workstations verwischen [11.06.2010]
Nmap-Scan in XML-Datei ausgeben [20.05.2010]
Fachartikel
Gefährliches Wurmloch: Der Windows-Link-Exploit [26.07.2010]
Seit Juni macht das Rootkit 'Stuxnet' weltweit Schlagzeilen: Es nutzt eine Windows-Sicherheitslücke im Link-Format, um industrielle SCADA-Systeme zu hacken - und steckt dabei voller innovativer Angriffstechnik. Martin Dombrowski, Ethical Hacker und System Engineer beim Security-Value-Add-Distributor entrada, hat den Schädling seziert und zeigt das Bedrohungspotenzial der Schwachstelle auf. [mehr]
