SYSS-2016-008: Fehlende Authentizitätsprüfung im TYPO3 Extension Manager

18.02.2016 – Advisories Advisories

IT-Security Consultant Franz G. Jahn entdeckt Schwachstelle im Extension Manager von TYPO3

TYPO3 holt Erweiterungen über unverschlüsselte Verbindungen, die Erweiterungen sind nicht signiert. Ein Angreifer in Man-in-the-Middle-Position könnte die Dateien entsprechend manipulieren und eigenen Code einfügen. Ein ähnliches Verhalten wurde bei drupal bereits im Januar auf Heise bemängelt.

Ein entsprechender Patch wurde vom TYPO3 Security Team am 16.02.2016 publiziert. Die Updates werden künftig über HTTPS erfolgen. Damit kann ein Angreifer nicht in eine MiM-Position kommen.

Informationen zu der Schwachstelle finden Sie in unserem Security Advisory SYSS-2016-008.

Das aktuelle TYPO3-Release finden Sie hier.

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find detailed information about this security issue in our Security Advisory SYSS-2016-008.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.