SYSS-2016-008: Fehlende Authentizitätsprüfung im TYPO3 Extension Manager

IT-Security Consultant Franz G. Jahn entdeckt Schwachstelle im Extension Manager von TYPO3

TYPO3 holt Erweiterungen über unverschlüsselte Verbindungen, die Erweiterungen sind nicht signiert. Ein Angreifer in Man-in-the-Middle-Position könnte die Dateien entsprechend manipulieren und eigenen Code einfügen. Ein ähnliches Verhalten wurde bei drupal bereits im Januar auf Heise bemängelt.

Ein entsprechender Patch wurde vom TYPO3 Security Team am 16.02.2016 publiziert. Die Updates werden künftig über HTTPS erfolgen. Damit kann ein Angreifer nicht in eine MiM-Position kommen.

Informationen zu der Schwachstelle finden Sie in unserem Security Advisory SYSS-2016-008.

Das aktuelle TYPO3-Release finden Sie hier.

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

 

You will find detailed information about this security issue in our Security Advisory SYSS-2016-008.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.


Termine

28.02.2019
Secu6: Planung und Durchführung von Penetrationstests
05.03.2019 - 07.03.2019
Secu2: Incident Response
12.03.2019 - 14.03.2019
Hack3: Angriffe auf Windows-basierte Netzwerke
19.03.2019 - 22.03.2019
Hack1/Hack2: Hacking Workshop