Das TYPO3-Securityteam hat heute einen kollektiven Sicherheitsbericht zu mehreren TYPO3-Erweiterungen veröffentlicht. Für einen Teil der Extensions stehen bereits aktualisierte Versionen bereit. Zwei der Erweiterungen sollten aus Sicherheitsgründen vorerst deinstalliert werden.

Folgende TYPO3-Erweiterungen weisen in den bislang veröffentlichten Versionen zum Teil kritische Sicherheitslücken auf:

• Commenting system Backend Module (commentsbe): Ein Backend-Modul für Kommentare.
• Tiny Market (hm_tinymarket): Marktplatz für Frontend-Nutzer.
• Yet Another Calendar (ke_yac): Stark konfigurierbares Kalender-Tool mit vielen Funktionen.
  
• The official twitter tweet button for your page (tweetbutton): Ermöglicht die Integration des offiziellen Twitter Tweet-Buttons.
  
• XING Button (xing): Integriert den offiziellen XING-Button auf einer TYPO3Webseite.

Welche Sicherheitsprobleme treten bei den Extensions auf?

Bei Commenting system Backend Module (commentsbe), Tiny Market (hm_tinymarket) und Yet Another Calendar (ke_yac) kann es zu einer SQL-Injection kommen. D. h. Angreifer können unter bestimmten Umständen Zugriff auf die TYPO3-Datenbank erlangen und eigene Datenbankbefehle einschleusen. Daten können so möglicherweise ausgespäht, verändert oder gelöscht werden.

Tiny Market (hm_tinymarket) ist außerdem von einer möglichen Arbitrary Code Execution betroffen, d. h. hier kann eventuell beliebiger Code ausgeführt werden.

Schwächen im Bereich Cross-Site Scripting weisen Yet Another Calendar (ke_yac), The official twitter tweet button for your page (tweetbutton) und XING Button (xing) auf. Die Erweiterungen nehmen hierbei Daten an, ohne deren Inhalt zu prüfen. Durch eingeschleusten Programmcode können unbekannte Skripte im Browser des Benutzers ausgeführt werden.

Empfehlung zum weiteren Vorgehen mit den genannten Extensions

Für Yet Another Calendar (ke_yac), The official twitter tweet button for your page (tweetbutton) und XING Button (xing) stehen bereits neue Versionen zur Verfügung, die im TYPO3-Repository heruntergeladen werden können. Bitte aktualisieren Sie daher Ihre Anwendungen. Da die Sicherheitslücke der Erweiterung Yet Another Calendar (ke_yac) durch das TYPO3-Securityteam als kritisch eingestuft wurde, empfehlen wir ein zeitnahes Update. Eine ausführliche Anleitung zum Aktualisieren einer TYPO3-Erweiterung erhalten Sie hier.

Commenting system Backend Module (commentsbe) und Tiny Market (hm_tinymarket) sollten vorsichtshalber deinstalliert werden, da deren Sicherheitslücken durch das TYPO3-Securityteam als hoch eingestuft wurden und noch kein Sicherheitsupdate von Seiten der Entwickler vorliegt. Bitte entfernen Sie deswegen den vollständigen Extensioncode beider Erweiterungen aus Ihren TYPO3-Installationen!

Alle offiziellen Informationen des TYPO3-Securityteams können Sie hier in englischer Sprache nachlesen.

Update (28. September 2010):

Wie vom Entwickler bekanntgegeben, steht ab sofort auch ein Security Fix für die Erweiterung commentsbe unter bereit.