Typo3Wann Typo3 sinnvoll ist - und wann nicht.
Im Folgenden beschäftigen wir uns mit den verschiedenen Aspekten bezüglich Typo3.
Was bedeutet Open Source?
"Open Source" wird oft mit "kostenlos" verwechselt. "Open Source" bedeutet aber lediglich, dass der Quellcode der Software öffentlich zugägnlich ist. Im Gegensatz zu kommerzieller Software gibt es bei TYPO3 keinen Support durch den Hersteller bzw. Entwickler. Die Vision ist, dass viele ehrenamtliche Entwickler die Software weiter entwickeln, Fehlerquellen und Sicherheitslücken ausmerzen. Das bedeutet aber auch, dass Hacker den Quellcode offen sehen können, gezielt nach Sicherheitslücken suchen und diese auf einer Testinstallation ausprobieren können.
Ist TYPO3 für mein Internetprojekt die richtige Wahl?
Das hängt selbstverständlich von der Art des Projektes ab. In den meisten Fällen, nämlich dann wenn das Projekt eine Internetpräsenz oder Website ist, oder wenn sensible Daten im Spiel sind, raten wir allerdings von TYPO3 ab. Warum? Nun, weil wir überzeugt sind, dass in diesen Fällen unsere Software einfach besser ist.
Zeit
Das CMS Adminsitrator hat eine außergewöhnlich intuitive Bedienungsoberfläche. Der Schulungsaufwand für Redakteure liegt nahezu bei null - nach wenigen Minuten können Mitarbeiter schon produktiv mit dem System arbeiten. Zudem bietet das CMS Administrator extrem optimierte Arbeitsabläufe, so dass auch komplexe Aufgaben innerhalb kurzer Zeit erledigt werden können.
Sicherheit
Das CMS Administrator wurde und wird komplett von uns entwickelt. Es gibt keine Module oder Komponenten, die wir aus der Hand geben - wir wissen also, dass die Software sicher ist, denn wir kennen sie in- und auswändig. Zudem ist der Sourcecode nicht frei zugänglich, ein Angreifer hat also nicht die Möglichkeit, Einblick in die Funktionsweise des Systems zu nehmen. Und wir haben ein Auge auf vorhandene Installationen des CMS Administrator über unsere Software SiteAlert - wenn also selbst die Hardware Probleme bereitet, auf der die Software läuft, können wir eingreifen.
Reibungsloser Betrieb
Als Entwickler von CMS Administrator bekommen unsere Kunden vollen Support von uns. So ist auch die Installation des Systems selbstverständlich nicht mit Kosten behaftet. Oder wenn Sie beispielsweise ein neues Modul wünschen, dann werden wir die Installation vornehmen - so dass Sie mit dem Modul direkt arbeiten können, weil Sie sich darauf verlassen können, dass es nahtlos integriert ist. Und wenn Sie Fragen über Funktionen haben oder Beratung benötigen, ob eine Erweiterung sinnvoll ist: dann reden Sie mit uns, den Entwicklern des Systems.
Dies sind Punkte, bei denen das CMS Administrator auch besser für Sie ist - denn Zeitersparnis, Sicherheit und reibungsloser Betrieb bedeuten für Sie auch vorhersehbar niedrige Folgekosten.
Erfahren Sie mehr über das CMS Administrator!
Kosten und Folgekosten
Migrationskosten
Die Migrationskosten für Typo3 sind abhängig von den Stundensätzen und der Erfahrung der ausführenden Agentur.
Personalkosten
Abhängig von der Benutzerführung im Backend verschiedener Content Management Systeme ist das Einstellen und Ändern von Inhalten unterschiedlich zeitaufwändig. Die Redaktionsoberfläche von Typo3 ist sehr komplex, so dass Redakteure zum Einen eine lange Einarbeitungszeit haben bis sie produktiv arbeiten können, zum Anderen auch die tägliche Arbeit mit dem System mehr Zeit beansprucht als eigentlich nötig. Das ziemlich umfangreiche System ist zudem recht langsam.
Agenturkosten
Wenn inhaltliche Änderungen innerhalb eines CMS durch die betreuende Agentur durchgeführt wird, sei es, weil das Redaktionssystem zu komplex zu bedienen ist oder dafür einfach keine Ressourcen zur Verfügung stehen, entstehen in einem solchen langsamen System zwangsläufig zusätzliche, unnötige Kosten.
Updatekosten
Da permanent neue Sicherheitspatches veröffentlicht werden, sorgt Typo3 innerhalb der Agentur ständig für nachwachsende Rohstoffe. Da die Software lizenzfrei ist, übernimmt der Hersteller die Kosten für die laufende Fehlerbehebung natürlich nicht. Die Agentur kann dafür ebenfalls nicht kostenlos in Anspruch genommen werden. Manche Agenturen fangen dies über Wartungsverträge auf - die in der Kalkulation natürlich berücksichtigt werden müssen.
Image-Verlust
Der Imageverlust, wenn aus einem solchen System Kundendaten in die Öffentlichkeit geraten, ist nicht bezifferbar.
Typo3 Module
Außer dem eigentlichen System gibt es eine Unzahl Lösungen von Drittanbietern. Diese ermöglichen zwar, TYPO3 um fehlende Funktionalität zu ergänzen, sind aber auch Schwachstellen im System. Da sie von verschiedenen Entwicklern stammen und von den TYPO3-Entwicklern nicht geprüft werden, lässt sich nur schwer vorhersagen, wie reibungslos diese funktionieren, und - weitaus wichtiger - wie sicher sie sind.
Sicherheit von Typo3
Im Jahresbericht 2008 von IBMs Sicherheitsdiensleister X-Force findet sich unter anderem ein Ranking der Hersteller mit den meisten nicht behobenen Sicherheitslücken. Bei drei derersten zehn handelt es sich um lizenzfreie Open Source Content Management Systeme. Platz 4-> Joomla!, Platz 8 -> Drupal und auf Platz 10 Typo3. X-Force erwartet eine Zunahme der Sicherheitslücken durch die zunehmende Verbreitung und den weiteren Ausbau der Code-Basis dieser Systeme. (zur Studie, S. 29 ff)
Ein Blick auf die News bei heise-online rund um Typo3 liefert eine Menge an Pressemeldungen bezüglich der Sicherheit.
Hier folgt die Historie der relevanten Meldungen zu Typo3
7.4.06 Content Management System Typo3 in Version 4 erschienen
20.12.06 Typo3 lässt sich Systemkommandos unterschieben
Die Entwickler des quelloffenen Content-Management-Systems Typo3 warnen vor einer schweren Sicherheitslücke, mit der Angreifer dem System beliebige Kommandos unterschieben können. Ursache des Problems ist die fehlende Filterung von übergebenen Nutzerparametern in der Erweiterung rtehtmlarea, die ab Typo3 4.0 standardmäßig enthalten ist. Auf Systemen vor Version 4.0 kann das Modul optional installiert sein.
Das Modul nutzt zum Syntaxcheck das Systemtool aspell und ruft es über System Calls auf. Durch präparierte Parameter kann ein Angreifer damit eigene Befehle an den Server übergeben und ausführen. Eine Authentifizierung ist dazu nach Angaben des Entdeckers der Lücke, die Firma SEC Consult, nicht notwendig. Damit der Angriff funktioniert, muss allerdings die PHP-Sicherheitsoption safe_mode deaktiviert sein. Näheres erklärt das Security Bulletin auf der Typo3-Homepage. Betroffen sind die aktuelle Version 4.0, Typo3 4.1 beta 1 sowie die älteren Releases 3.7.x und 3.8.x. Auf dem Typo3-Server stehen Fixes für alle Typo3-Versionen bereit.
Das Typo3-Team hat bislang keinen Hinweis darauf, dass das Problem von einem Angreifer erkannt oder gar ausgenutzt wurde. Aufgrund der Schwere des Fehlers raten sie aber dringend dazu, Installationen schnell zu aktualisieren.
Fremde können über Typo3 z. B. Inhalte auf dem Server löschen
23.2.07 Update für Typo3 soll Spam-Missbrauch verhindern
Durch einen nicht näher beschriebenen Fehler in der Form-Engine des populären Content-Management-Systems Typo3 ist es möglich, beliebige Header in Mails einzuschleusen, schreiben die Entwickler in einem Fehlerbericht. Angreifer können dies beipielsweise zum Versenden von Spams missbrauchen. Betroffen sind Versionen bis 4.0.4, sowie 4.1beta und 4.1RC1. In Version 4.0.5 ist der Fehler behoben. Anwender sollten möglichst bald auf diese Version wechseln.
Nicht gepatchte Systeme können von Fremden für Spam,-Mails missbraucht werden.
13.12.07 SQL-Injection-Lücke in CMS Typo3
Eine Systemerweiterung des Content-Management-Systems Typo3 lässt sich ausnutzen, um unautorisierten Zugriff auf die Datenbank zu erhalten. Damit könnte ein Angreifer Daten auslesen oder sogar manipulieren. Laut Fehlerbericht ist eine nicht näher beschriebene SQL-Injection-Lücke in indexed_search Ursache des Problems. Die Erweiterung ist Bestandteil einer Standardinstallation.
Die Schwachstelle soll sich nur ausnutzen lassen, wenn der Angreifer am Typo-Backend angemeldet ist – er muss aber keine Admin-Rechte besitzen. Betroffen sind Typo3 3.x, 4.0 to 4.0.7 und 4.1 bis einschließlich 4.1.3. In Version 4.1.4 und 4.0.8 ist die Lücke geschlossen.
Damit wären z. B. die Daten derjenigen ihrer Kunden auszulesen, die einen Kundenzugang zu Ihrer Webseite haben. Das System muß neu migriert werden, Eventuelle Module oder individuelle Erweiterungen neu getestet werden. Gesichtsverlust, wenn Ihre Kunden den Datenklau mitbekommen: ...
27.05.08 TYPO3-Module ermöglichen SQL-Injection und Cross-Site-Scripting
Die Entwickler der Zusatzmodule kj_imagelightbox2 und sg_zfelib für das quelloffene Content-Management-System TYPO3 haben Sicherheitslücken abgedichtet, durch die Angreifer SQL-Befehle einschleusen oder Cross-Site-Scripting-Angriffe ausführen konnten. Die Module werden von Drittherstellern angeboten und gehören nicht zur TYPO3-Standardinstallation.
Die Library for Frontend plugins (sg_zfelib) filtert Benutzereingaben nicht und ermöglicht dadurch das Einschleusen von SQL-Befehlen, durch die Angreifer Lesezugriff auf die Datenbank erhalten können. Die sg_zfelib stellt Funktionen für weitere Bibliotheken bereit, die dadurch ebenfalls die Schwachstelle aufweisen. Die TYPO3-Entwickler nennen als Beispiele die Zusatzkomponenten
* sg_newsplus,
* sg_address,
* sg_avmedia,
* sg_event,
* sg_genealogy,
* sg_glossary,
* sg_newsletter,
* sg_prodprom,
* sg_smallads,
* sg_userdata,
* sg_filelist und
* sg_dictionary.
Auch die Erweiterung KJ: Image Lightbox v2 (kj_imagelightbox2) filtert Benutzereingaben nicht und ermöglicht so Cross-Site-Scripting-Angriffe. Für beide Module haben die Entwickler aktualisierte Software-Versionen bereitgestellt, die Nutzer der Plugins schnellstmöglich herunterladen und einspielen sollten.
Gleiches Problem wie vorher, nur diemal bezogen auf Module von Drittanbietern
11.06.08 Sicherheits-Update für Typo3
Die Entwickler des Content-Management-Systems Typo3 empfehlen Anwendern ein Update auf die Versionen 4.0.9, 4.1.7 oder 4.2.1, in denen zwei Schwachstellen beseitigt sind. Läuft Typo3 auf einem Apache-Webserver, so soll es Angreifern laut Fehlerbericht möglich sein, eigenen PHP-Code auf den Server zu laden und auszuführen. Schuld ist ein Fehler in der Funktion, die genau das verhindern soll: Typo3 prüft den hochgeladen Dateitypen und verhindert den Upload, wenn es sich um PHP-Skripte handelt.
Der Schutz lässt sich aber umgehen, wenn im Apache-Server das Modul mod_mime aktiviert ist und die Datei mehrere Endungen aufweist, von denen .php aber nicht die letzte angegebene ist. Ein ähnlicher Angriff funktioniert zudem mit präparierten .htaccess-Dateien. Die Entwickler stufen das Problem als kritisch ein.
Für einen erfolgreichen Angriff ist allerdings eine Authentifizierung im Backend oder Frontend von Typo3 erforderlich. Alternativ zum Update führt der Fehlerbericht einen Workaround auf, wie die Typo3-Konfiguration anzupassen ist. Darüber hinaus haben die Entwickler eine Cross-Site-Scripting-Lücke in der Datei rfe_adminlib.inc beseitigt, die unter anderem in den Extensions direct_mail_subscription, feuser_admin und kb_md5fepw zum Einsatz kommen. Systeme, auf denen diese Erweiterungen nicht laufen, sind nicht verwundbar.
Die Migration des Updates durch die Agentur ist kostenplfichtig.
24.09.08 Sicherheits-Updates für Typo3-Erweiterungen
Die Typo3-Entwickler haben auf aktualisierte Versionen der Erweiterungen phpMyAdmin und freeCap CAPTCHA hingewiesen, in der jeweils eine Cross-Site-Scripting-Schwachstelle behoben ist. In beiden Fällen ist die unzureichende Filterung von übergebenen Daten Ursache für das Problem. Beim Datenbankkonfigurationstool phpMyAdmin sollen laut Hersteller im Wesentlichen Anwender des Internet Explorers betroffen sein.
Die ggfs. nötige Migration der Updates durch die Agentur ist kostenplfichtig.
13.11.08 Sicherheits-Update für Typo3
Version 4.2.3 des Content Management System Typo3 beseitigt zwei Cross-Site-Scripting-Schwachstellen, durch die Angreifer Anwendern JavaScripts unterschieben und im Kontext der Typo3-Site ausführen können. Üblicherweise lassen sich auf diese Weise Zugangsdaten stehlen. Die Fehler finden sich in der Systemerweiterung felogin und dem Backend-Module file.
Beim felogin-Fehler genügt es bereits, dass ein Opfer einem präparierten Link folgt. Der Fehler in file lässt sich nach Angaben der Entwickler nur ausnutzen, wenn das Opfer ein Backend-Anwender ist oder detaillierte Informationen über die Verzeichnisstruktur des Servers vorhanden sind.
Betroffen sind die Versionen 4.2.x. Anwender der felogin-Erweiterung sollten ihr System alsbald aktualisieren. Darüber hinaus erschien eingangs der Woche ein Sammelbericht über Sicherheitslücken in verschiedenen Typo3-Erweiterungen anderer Hersteller.
14.11.08 Passwörter bei Einbruch in Typo3.org-Webserver ausgespäht
Laut einer Mitteilung der Betreiber der Website TYPO3.org ist es Angreifern gelungen, unautorisierten Zugriff auf den Server zu erhalten und die Passwörter registrierter Anwender auszuspähen. Es soll bereits Versuche der Passwortdiebe geben, die ausgespähten Passwörter zum Zugang zu anderen Webseiten zu benutzen. Anwender werden dazu angehalten, ihre Passwörter zu ändern, sofern sie das auf Typo3.org benutzte Kennwort auch auf anderen Seiten verwenden.
Angeschrieben wurden offenbar alle Mitglieder des Typo3-Community-Bereichs:
"The offender had access to website user details including their passwords, and there have been reports of this data being used to access other websites. It also has to be expected that the data may have been disclosed to third parties.
Important! IF YOU HAVE USED THE SAME PASSWORD ON ANY OTHER SITE, PLEASE CHANGE IT IMMEDIATELY!"
Der Mitteilung zufolge wurden alle bisherigen Zugänge zu Typo3.org gesperrt und erfordern nun ein neues Passwort. Derzeit überarbeite man die Login-Funktion, sodass derzeit kein Zugang zum Community-Bereich möglich sei. Eine FAQ soll weitere Fragen beantworten. Aktuell fordert sie Besucher jedoch nur auf, die Passwörter zu ändern und zur Verwaltung der Passwörter für verschiedene Seiten einen Passwort-Manager zu benutzen.
Die Identität des Angreifers soll bekannt sein. Details über den Einbruch haben die Betreiber aber noch nicht veröffentlicht. Ob die Passwörter auf der Typo3-Webseite im Klartext vorlagen oder als MD5-Hashes, ist derzeit ebenfalls unbekannt. (dab/c't)
Das wird zwar vermutlich nur die Entwickler-Community betreffen. Dennoch ist hier die Seite des Herstellers von Typo3 gehackt worden.
21.01.09 Sicherheits-Update schließt kritische Lücke in Typo3
Die Entwickler des Content-Management-Systems Typo3 weisen auf mehrere Schwachstellen in den Versionen 4.0.0 bis 4.0.9, 4.1.0 bis 4.1.7 und 4.2.0 bis 4.2.3 hin. Dazu gehört neben Cross-Site-Scripting-Fehlern und schwacher Verschlüsselung auch die Möglichkeit für einen Angreifer, eigene Befehle an die Shell des Systems zu übergeben und zu starten. Ursache des Problems ist die fehlerhafte Verarbeitung übergebener Parameter in der "Indexed Search Engine"-Erweiterung.
In den Versionen 4.0.10, 4.1.8 und 4.2.4 sind die Fehler behoben. Die Entwickler haben die in ihrem Security Bulletin aufgeführten Lücken insgesamt mit "kritisch" bewertet. Anwender sollten die Updates so schnell wie möglich installieren. Allerdings gibt es mit den letzten Releases der Versionen 4.1.8 und 4.0.10 ein Problem mit PHP 4. Sie enthalten aus Versehen Public-static-Deklarationen der Funktion generateRandomBytes in t3lib/class.t3lib_div.php, die PHP 4 nicht unterstützt. Überarbeitete Versionen sollen aber demnächst erscheinen.
Mehrere als kritisch bewertete Fehler und der Hinweis, ein Update so schnell wie möglich durchzuführen. Das Update durch die Agentur ist kostenpflichtig.
09.02.09 Sicherheits-Updates für Typo3 angekündigt
Auf Typo3-Administratoren kommt morgen, Dienstag, den 10. Februar, einiges an Arbeit zu: Die Entwicker haben für 9:00 Uhr (GMT) Updates für die Versionen 4.2.x, 4.1.x und 4.0.x sowie Patches für 3.3, 3.5, 3.6, 3.7, 3.8 und 4.3alpha1 angekündigt. Die Updates und Patches sollen eine oder mehrere kritische Sicherheitslücken schließen – mehr wollen die Entwickler bis dahin nicht verraten.
Die Lücken sind also schon länger bekannt, die Fehlerbehebung kommt morgen (und ist kostenpflichtig).
10.02.09 Lücke in Typo3 ermöglicht Zugriff auf beliebige Dateien
Eine Schwachstelle im populären Content-Management-System Typo3 ermöglicht den Zugriff auf beliebige Dateien auf dem Server – darunter auch etwa die Datei localconf.php, in der das (gehashte) Passwort für das Install-Tool sowie Nutzername und Passwort für die Datenbank eingetragen sind. Ursache des Problems ist nach Angaben der Typo3-Entwickler ein Fehler in der jumpUrl-Funktion zum Analysieren der Webzugriffe. Diese offenbart einen geheimen Hash, der Zugriff auf beliebige Dateien eigentlich verhindern soll.
Betroffen sind die Versionen 3.3.x, 3.5.x, 3.6.x, 3.7.x, 3.8.x, 4.0 bis 4.0.11, 4.1.0 bis 4.1.9, 4.2.0 bis 4.2.5, sowie 4.3alpha. Die Updates auf 4.0.12, 4.1.10 oder 4.2.6 schließen die Lücke. Zusätzlich beseitigen die neuen Versionen auch eine Cross-Site-Scripting-Schwachstelle.
Alternativ soll ein Shellskript der Entwickler die nötigen Änderungen zur Absicherung vornehmen können, ohne gleich ein komplettes Update installieren zu müssen. Weitere Vorschläge sind im Original-Fehlerbericht von Typo3 zu finden.
OK, welchem der vielen Kunden soll denn die Agentur zuerst (kostenpflichtig) helfen?
12.02.09 Nach Typo3-Lücke: Hochkonjunktur beim Hash-Cracking
Der Betreiber der Website hashcrack.com verzeichnet seit gestern einen "Boom" bei der Nutzung des Online-Dienstes zum Knacken von MD5-Hashes. Die Zugriffszahlen hätten sich innerhalb von zwei Tagen rund verzehnfacht. Vermutlich steht der Anstieg im Zusammenhang mit einer kritischen Sicherheitslücke im weit verbreiteten Content-Management-System Typo3. Um sie auszunutzen, muss ein Angreifer das zu einem MD5-Hash gehörige Passwort herausbekommen. Ist ein Angreifer einmal an den Hash des Admin-Passwortes gelangt, kann er die Inhalte der Website beliebig manipulieren. Auf diese Weise veränderten Unbekannte beispielsweise die Internetpräsenz von Innenminister Wolfgang Schäuble und des Fußballvereins FC Schalke 04. Die bereinigte Zugriffsstatistik von hashcrack.com verzeichnet seit vorgestern rasante Zuwachsraten.
Die bereinigte Zugriffsstatistik von hashcrack.com verzeichnet seit vorgestern rasante Zuwachsraten.
Bild: hashcrack.com
Da die Typo3-Hashes kein sogenanntes Salz enthalten – einen Zufallsanteil, der gewisse Knackmethoden vereitelt – lassen sich die Passwörter mit Hilfe von Regenbogentabellen und Hashdatenbanken wie hashcrack.com innerhalb weniger Minuten bis Tage berechnen. Regenbogentabellen erreichen je nach Zeichenvorrat und Länge der anvisierten Passwörter sowie der gewünschten Erfolgsquote eine Größe von mehreren hundert Gigabyte. Ihre Berechnung benötigt teils Monate auf spezieller Hardware, doch einmal erstellt lassen sie sich für alle ungesalzenen Hashes verwenden.
Auch andere Webseiten wie die Portale milw0rm und GDataOnline bieten ein solches Hash-Cracking an. Sie können größtenteils mit mehreren Hash-Typen umgehen, etwa auch Microsofts NTLM- und LM-Hashes und SHA1. Auf freerainbowtables.com beispielweise gibt es Regenbogentabellen für diverse Hashes und Passworttypen zum kostenlosen Download. Eines der bekanntesten Knackprogramme ist das Tool ophcrack.
06.04.09 Zahlreiche Typo3-Erweiterungen mit Schwachstellen
In einem Sammel-Advisory weisen die Entwickler des CMS Typo3 auf mehrere Sicherheitslücken in Erweiterungsmodulen anderer Hersteller hin. Demnach finden sich in Visitor Tracking (ws_stats), Userdata Create/Edit (sg_userdata) und Store Locator (locator) Cross-Site-Scripting-Lücken. Für SQL-Injection zeigen sich 21glossary Advanced Output (a21glossary_advanced_output), Store Locator (locator), Versatile Calendar Extension [VCE] (sk_calendar) und ultraCards (th_ultracards) anfällig.
Das Modul Directory Listing (dir_listing) weist eine Directory-Traversing-Schwachstelle auf und ClickStream Analyzer [output] verrät unter Umständen Informationen. Abgesehen von ClickStream Analyzer und Directory Listing (die beide aus dem Typo3-Repository gelöscht wurden) stehen für alle Erweiterungen Updates zu Verfügung.
Ein weiterer Bericht beschreibt eine weitere Lücke im Frontend User Registration (sr_feuser_register), durch die Anwender unter Umständen an die Informationen anderer Anwender, inklusive des Passworts, gelangen können. Ein Update auf Version 2.5.21 behebt das Problem.
Zukunftssicherheit
Wie jede Software lebt auch Typo3 von der ständigen Weiterentwicklung. Derzeit ist die aktuelle Version in php 5.2 geschrieben. Die nächste Version dieser Programmiersprache ist bereits in Arbeit, anschließend werden die Hoster nach und nach nur noch diese auf Ihren Servern anbieten. Dann muss eine aktuelle Version von Typo3 installiert werden.
Die aktuelle Version 5 von Typop3 wird derzeit noch für php 5.2 entwickelt. Die Veröffentlichung sollte im November 2007 erfolgen, ist bisher (28.5.2010) jedoch noch nicht erschienen.
Hier finden Sie die aktuelle Liste der noch nicht bearbeiteten Fehler innerhalb Typo3s auf der offiziellen Typo3-Webseite.