Mit leichter Verzögerung hat das Typo3-Projekt Bugfix-Releases für mehrere Versionen freigegeben. Neben diversen kleineren Fehlern behoben die Entwickler auch zwei Sicherheitsprobleme und machten eine ältere Version fit für den Firefox 3.
“Mit den neuen Veröffentlichungen machen wir eine Ausnahme in unserer Releasepolitik” schreibt Entwickler Ingo Renner in der Veröffentlichungsmitteilung auf der Mailing-Liste des Typo3-Projekts. Hintergrund der Ausnahme: Das Typo3-Backend des Zweigs 4.0.x war in den Betas des kommenden Mozilla-Browsers Firefox 3 nicht benutzbar.
Neben diesem Fehler und einigen kleineren Fehlern schlossen die Entwickler auch zwei Sicherheitslücken, die der Sicherheitsdienstleister Secunia als mittelschwer einstuft.
Die Fehler beschreibt das Typo3-Team im Security Bulletin TYPO3-20080611-1. Der erste Problem erlaubt angemeldeten Nutzern eines Typo3-Systems, manipulierte Apache-Konfigurationsdateien und veränderte PHP-Dateien hochzuladen und auszuführen. Der Fehler bestand durch mangelnde Kontrolle der Dateinamenerweiterung. Waren diese mehrfach oder begann der Dateiname mit einem Punkt, konnte ein potentieller Angreifer das System überlisten. Doch um die Lücke auszunutzen, musste der Angreifer nicht nur angemeldet sein, sondern auch Zugriff auf Filemounts haben, beziehungsweise mussten das “t3lib_div::verifyFilenameAgainstDenyPattern()” oder “processFiles()” installiert sein.
Der zweite, weniger schwerwiegende Fehler betraf die Funktion “fe_adminlib.inc”. Diese bereinigte einen unspezifizierten Parameter nicht ausreichend, bevor sie diesen an den Nutzer zurückgab. Dieser Umstand konnte von beliebigen Nutzern ausgenutzt werden, um schädlichen HTML- oder Skript-Code auszuführen. Die erfolgreiche Ausnutzung der Lücke setzte ein installiertes Frontend-Plugin auf Basis von “fe_adminlib” wie “direct_mail_subscription” oder “feuser_admin” voraus.
Beide Lücken betreffen die Versionen 3.x, 4.0.x, 4.1.x und 4.2.0. Abhilfe schaffen die jetzt veröffentlichten Typo3 4.0.9, 4.1.7 und 4.2.1. Sie stehen als Dummy-Package und als Quellpaket in der Formaten tar.gz und Zip-Archiv unter typo3.org zum Download bereit.
