SYSS-2016-008: Fehlende Authentizitätsprüfung im TYPO3 Extension Manager

IT-Security Consultant Franz G. Jahn entdeckt Schwachstelle im Extension Manager von TYPO3

TYPO3 holt Erweiterungen über unverschlüsselte Verbindungen, die Erweiterungen sind nicht signiert. Ein Angreifer in Man-in-the-Middle-Position könnte die Dateien entsprechend manipulieren und eigenen Code einfügen. Ein ähnliches Verhalten wurde bei drupal bereits im Januar auf Heise bemängelt.

Ein entsprechender Patch wurde vom TYPO3 Security Team am 16.02.2016 publiziert. Die Updates werden künftig über HTTPS erfolgen. Damit kann ein Angreifer nicht in eine MiM-Position kommen.

Informationen zu der Schwachstelle finden Sie in unserem Security Advisory SYSS-2016-008.

Das aktuelle TYPO3-Release finden Sie hier.

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

 

You will find detailed information about this security issue in our Security Advisory SYSS-2016-008.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.


Termine

02.05.2019
Secu3: IPv6-Security
07.05.2019 - 08.05.2019
Hack6: Mobile Device Hacking
08.05.2019
Secu4: IT-Recht und Datenschutz für IT-Verantwortliche
14.05.2019 - 17.05.2019
Hack1/Hack2: Hacking Workshop