Das Tango-Projekt hat Version 2.2.0 seines Content-Management-Systems für Webseiten veröffentlicht. Im Zentrum der Release steht die Behebung von Sicherheitslücken.
Im soeben abgeschlossenen Entwicklungszyklus hatten die Tango-Macher von zahlreichen Sicherheitsproblemen erfahren und daher deren Behebung zum wichtigsten Ziel für Version 2.2.0 mit dem Codenamen “Eagle” gemacht. Geplante Neuerungen wie beispielsweise einen einfachen WYSIWYG-Editor oder Verbesserungen der Bedienbarkeit haben die Entwickler auf die Version 2.3.0 (“Dolphin”) vertagt, die für Mitte 2009 geplant ist.
Ein Eintrag im Bugtracker des Projekts bezeichnet die Sicherheitslücken als Kandidaten für Cross-Site-Request Forgery (CSRF). Die behobenen Schwächen hätten alle bisherigen Versionen betroffen, Details wolle man aus Sicherheitsgründen nicht nennen, heißt es in dem Eintrag.
Bei einer CSRF-Attacke führt der Benutzer in einer Webanwendung Aktionen aus, die er eigentlich gar nicht durchführen möchte. Das geschieht beispielsweise durch einen Link oder eine Bild-URL, die der Angreifer dem Anwender unterschiebt. Besonders erfolgversprechend sind Angriffe über Benutzer, die hohe Berechtigungen besitzen: Bringt man den Administrator einer Seite dazu, bewusst oder unbewusst eine URL der Anwendung innerhalb einer gültigen Sitzung aufzurufen, kann man Aktionen mit dessen Privilegien ausführen, beispielsweise Inhalte oder Benutzer löschen. Weitere Informationen zum Thema CSRF (auch als XSRF bekannt) gibt es zum Beispiel beim Open Web Application Security Project (OWASP).
Die Version 2.2.0 des Tango-CMS steht als Tarball zum Download bereit. Daneben ist der PHP-Quellcode über das Subversion-Repository des Projekts erhältlich.
