Skip to main content

Mit einem Klick mehr über uns erfahren

Web Security im Pagemachine Blog

Die 3 neuen Sicherheitslücken in TYPO3 4.5 verständlich erklärt

Letzte Woche wurde das erste Update der TYPO3 4.5 ELTS veröffentlicht. Damit gilt die letzte Version der ehemaligen LTS Version TYPO3 4.5.40 offiziell als unsicher. Wir sagen euch, wie hoch das Risiko ist und was man tun kann, um es zu verringern.

Das wichtigste vorab: die Versionen 6.2 und 7.3 sind sicher

Mit dem Einspielen der TYPO3 Versionen 6.2.14 oder 7.3.1 werden die Sicherheitslücken geschlossen. Die unten stehenden Infos gelten für ältere Versionen, die nicht mehr weiterentwickelt werden, speziell für die 4.5.

Warum gibt es keine Updates für die 4.5 und was ist ELTS?

Ende März ist der Support für die ehemalige LTS Version TYPO3 4.5 ausgelaufen. Sicherheitsupdates gibt es nur noch im Rahmen der TYPO3 4.5 ELTS (Extended Long Term Support). Diese ist jedoch kostenpflichtig. Wir haben darüber berichtet. Jetzt wurde im Rahmen der TYPO3 4.5 ELTS das erste Update veröffentlicht. 3 Sicherheitslücken wurden geschlossen. Allerdings nicht für die reguläre Version 4.5.

Im Klartext: Das sind die 3 neu entdeckten Sicherheitslücken von TYPO3 4.5

1. Frontend Login Session Fixation

  • Was kann passieren: Ein Angreifer könnte in einen Passwort-geschützten Bereich eindringen.
  • Wie geht das: der Angreifer schiebt Dir eine (gültige) Session-ID unter. Loggst Du dich auf der Zielseite ein, benutzt der Angreifer die gleiche Session-ID und ist ebenfalls eingeloggt.
  • Wie gefährlich ist das: auf typo3.org wird die Gefahr als niedrig eingestuft. Ein solcher Angriff ist recht aufwändig. Das Backend ist nicht betroffen.
  • Was könnt ihr dagegen tun: Nur ein Update kann diese Art Angriff wirksam verhindern.

2. Cross-Site Scripting exploitable by Editors

  • Was kann passieren: Links auf einer Website mit TYPO3 4.5 können so manipuliert werden, dass Sie zusätzliche Funktionen auf deinem Rechner ausführen, wenn du darauf klickst.
  • Wie geht das: wegen der bekannt gewordenen Sicherheitslücke ist es möglich, solche Links im Backend einzufügen.
  • Wie gefährlich ist das: auf typo3.org wird die Gefahr als niedrig eingestuft. Websites können nicht von außen, sondern nur aus dem Backend heraus manipuliert werden.
  • Was kann man dagegen tun: Nur ein Update kann diese Art Angriff wirksam verhindern. Das Risiko kann reduziert werden, wenn ihr den Zugriff auf das Backend eurer Website auf vertrauenswürdige Personen beschränkt.

3. Brute Force Protection Bypass in Backend Login

  • Was kann passieren: mit einer Brute Force Attacke kann ein Angreifer automatisch massenhaft Loginversuche durchführen und so Backend-Logindaten herausfinden.
  • Wie geht das: mit einem speziellen Request kann der 5-sekündige Sicherheitstimeout nach erfolglosem Login umgangen werden. So sind ein Vielfaches mehr Login-Anfragen möglich, die Erfolgsaussichten steigen also enorm.
  • Wie gefährlich ist das: auf typo3.org wird die Gefahr als niedrig eingestuft.
  • Was kann man dagegen tun: z.B. die Extension Login Alert warnt euch bei jeder erfolglosen Login-Anfrage. Und wenn jeder User ein sicheres und ausreichend langes Passwort hat, laufen solche Angriffe ins Leere. Wie geht ein sicheres Passwort? Hier erklären wir’s.

Fazit:

Alle bisher bekannten Sicherheitslücken der TYPO3 4.5 werden von TYPO3 als wenig gefährlich eingestuft. Aktuell ist das Risiko für Websites unter TYPO3 4.5 noch gering. Aber die Entdeckung erster Lücken hat erneut gezeigt, dass auf Dauer die Gefahr stetig wächst. Wir empfehlen das Upgrade auf 6.2/7.x dringend.

Alles zu Updates und Upgrades auf der Pagemachine Website.

Mehr Infos:

Wenn Ihr Fragen habt oder Anregungen. Schreibt einfach einen Kommentar. Wenn Ihr diesen Beitrag hilfreich findet: bitte weiterverteilen…

Ein Gedanke zu „Die 3 neuen Sicherheitslücken in TYPO3 4.5 verständlich erklärt

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.