Typo3 lÀsst sich Systemkommandos unterschieben
Durch einen Fehler in einer zentralen Komponente können Angreifer dem Content Management System beliebige Systembefehle unterschieben.
Die Entwickler des quelloffenen Content-Management-Systems Typo3 warnen vor einer schweren SicherheitslĂŒcke, mit der Angreifer dem System beliebige Kommandos unterschieben können. Ursache des Problems ist die fehlende Filterung von ĂŒbergebenen Nutzerparametern in der Erweiterung rtehtmlarea, die ab Typo3 4.0 standardmĂ€Ăig enthalten ist. Auf Systemen vor Version 4.0 kann das Modul optional installiert sein.
Das Modul nutzt zum Syntaxcheck das Systemtool aspell und ruft es ĂŒber System Calls auf. Durch prĂ€parierte Parameter kann ein Angreifer damit eigene Befehle an den Server ĂŒbergeben und ausfĂŒhren. Eine Authentifizierung ist dazu nach Angaben des Entdeckers der LĂŒcke, die Firma SEC Consult, nicht notwendig. Damit der Angriff funktioniert, muss allerdings die PHP-Sicherheitsoption safe_mode deaktiviert sein. NĂ€heres erklĂ€rt das Security Bulletin [1] auf der Typo3-Homepage. Betroffen sind die aktuelle Version 4.0, Typo3 4.1 beta 1 sowie die Ă€lteren Releases 3.7.x und 3.8.x. Auf dem Typo3-Server stehen Fixes fĂŒr alle Typo3-Versionen bereit.
Das Typo3-Team hat bislang keinen Hinweis darauf, dass das Problem von einem Angreifer erkannt oder gar ausgenutzt wurde. Aufgrund der Schwere des Fehlers raten sie aber dringend dazu, Installationen schnell zu aktualisieren.
Siehe dazu auch:
- Remote Command Execution in Typo3 [2], Fehlerbericht von SEC Consult
- Remote Command Execution in TYPO3 [3], Fehlerbericht von von Typo3
(jo [4])
URL dieses Artikels:
https://www.heise.de/-128535
Links in diesem Artikel:
[1] http://news.typo3.org/news/article/typo3-security-bulletin-typo3-20061220-1-remote-command-execution-in-typo3/
[2] http://www.sec-consult.com/272.html
[3] http://news.typo3.org/news/article/typo3-security-bulletin-typo3-20061220-1-remote-command-execution-in-typo3/
[4] mailto:jo@ct.de
Copyright © 2006 Heise Medien