Auch das unter den Nutzern als sehr sicher geltende Typo3 zeigt Schwächen. Wie die Entwickler warnen lässt sich Typo3 Systembefehle unterschieben. Damit lassen sich mit den Rechten des Benutzers jegliche Befehle auf dem System ausführen. Allen Nutzern wird empfohlen ihre Version zu aktualisieren. Auf der Typo3 Seite stehen gepatchte Version zur Verfügung.
Von dem Fehler sind alle Versionen ab Typo3 3.7 betroffen und sollten so schnell wie möglich aktualisiert werden, da für das Ausnutzen des Fehlers keine Anmeldung an Typo3 erforderlich ist!
Der Fehler besteht in dem Modul rtehtmlarea. Dieser ist ab der Typo3 Version 4.X standardmäßig aktiviert und reist damit ein riesiges Loch in der Anwedung und den Server selbst. Bei bestehenden Lokal User Lücken wäre der Benutzer damit in der Lage das ganze System zu übernehmen, also zu „root“-Rechten zu gelangen.
Das Modul dient der Rechtschreibprüfung und nutzt dazu die Sprachüberprüfung „aspell“ zum Prüfen der Eingaben. Hier wird eine unzureichende Filterung der Eingaben durchgeführt, was dem Angreifer erlaubt Systembefehle zu übergeben.
Quellen und weitere Hinweise: