Typo3 Repository war schlecht gesichert

Ein Fehler im Typo3 Repository erlaubte es beliebigen Nutzern, ohne Passwort darauf zuzugreifen und so Management-Rechte zu erhalten. Unter Umständen könnten so Erweiterungen hochgeladen werden, die trojanisiert wurden, oder Erweiterungen könnten verändert worden sein. Nutzer sollten auf jeden Fall vorsichtig sein.

Typo3 Repository nicht genügend abgesichert

Die nicht ausreichende Absicherung des Typo3 Repositories führte dazu, dass Unbefugte vom 23. August 2017 bis zum 06. September 2017 die Möglichkeit gehabt hätten, unbemerkt Trojaner und andere Malware via Typo3 Erweiterungen zu verteilen und so möglicherweise hunderte bis tausende Seiten zu kapern. Diese Schwachstelle wurde als kritisch eingestuft, und wurde inzwischen vom Typo3 Tema geschlossen.

Anscheinend nur 56 Erweiterungen für Typo3 betroffen

Laut Angaben der Verantwortlichen von Typo3 wurden alle vor dem 23. August in den Repositories enthaltenen Erweiterung per SHA256 Checksumme erfolgreich überprüft, so das diese Erweiterungen unkritisch sein sollten. die seit dem 23. August neu hochgeladenen Erweiterungen wurden zur Vorsicht als unsicher markiert, so dass Nutzer diese nicht einsetzen sollten und auf neue Versionen warten sollten. Sollte eine solche Erweiterung eingesetzt werden, sollte diese vorsorglich gelöscht werden, um eventuellem Schaden vorzubeugen.

Die Entwickler der als unsicher markierten Erweiterungen wurden inzwischen angeschrieben und darum gebeten, eine neue Version hochzuladen.

Fazit zur Typo3 Repository Schwachstelle:

Jede Software kann potentiell Fehler und Schwachstellen enthalten - ob nun ein WebCMS oder ein Betriebssystem. Sollte jedoch eine Schwachstelle bekannt werden, muss diese natürlich schnellstmöglich geschlossen werden - im Idealfall nur wenige Stunden bzw Tage später. Auch Typo3 bleibt davon nicht verschont - zumindest wurde die Schwachstelle beseitigt und entsprechende Massnahmen getroffen, dass Webseiten nicht infiziert werden sollten.

Quelle:
https://www.heise.de/security/meldung/Schwachstelle-in-Typo3-Repository-als-moegliches-Schlupfloch-fuer-trojanisierte-Erweiterungen-3825378.html

2017-09-25