Das TYPO3 Sicher­heits­team ent­deckte Sicher­heits­lü­cken im TYPO3, wel­che Cross-site Script­in­gund SQL Injec­tions ermög­li­chen, und ver­öf­fent­lichte die Infor­ma­tio­nen dazu heute, am 22.10.2009 . Updates der betrof­fe­nen TYPO3 Ver­sio­nen ste­hen bereit.
Hier die Info auf t3n.de: TYPO3: Sicher­heits­lü­cken im TYPO3-Core, Updates ste­hen bereit » t3n News
Hier die TYPO3 Secu­rity Bul­le­tins: https://typo3.org/teams/security/security-bulletins/typo3-sa-2009–016/

Die Interface-Spezialisten Jens Hoff­mann und Björn Brock­mann prä­sen­tier­ten Wire­frames vom Auf­bau und dem Kon­zept der zukünf­ti­gen Ober­flä­che von TYPO3 5.0.

Die­ses ver­zich­tet voll­stän­dig auf ein Backend und setzt voll­ends auf Front­end Edit­ing. Ich bin gespannt, ob dies auch im All­tag der Kom­ple­xi­tät des Sys­tems stand­hal­ten wird!

Mehr Infos unter: http://t3n.de/news/typo3-50-erste-einblick-neue-user-interface-typo3-50–254449/

Ist Google für Job­su­chende eine Hilfe?

Und wer nicht weiß, wofür das ist… es geht um eine Job­be­wer­bung in der Form einer coo­len Schnit­zel­jagd auf http://www.network-publishing.de/aktuelle-jobs

Auf die­sen Bei­trag kom­men ver­mut­lich nur Leute, die sich bewerben.

Auf der Seite steht ein von TYPO3 bekann­ter seria­li­sier­ter String, wel­cher deko­diert wer­den muss.
Womit – steht in der Quelle der Seite

Nach­dem wir ja auch sehr gute TYPO3 Pro­gram­mie­rer suchen und eben­falls eine Schnit­zel­jagd in die­ser umset­zen woll­ten, hat sich Mike etwas umge­se­hen und den oben genann­ten Link gefunden.

Finde ich sehr gut umge­setzt, ist schon mal ein schö­nes Sortierkriterium!

Heute bekam ich per Post die Infor­ma­tion, dass ich die Prü­fung zum “cer­ti­fied TYPO3 Inte­gra­tor” geschafft hab!
Für knapp 2 Tage Vor­be­rei­tung ned so schlecht – jetzt bin ich einer von 27 Zer­ti­fi­zier­ten in Öster­reich, welt­weit gibt es momen­tan 104 zer­ti­fi­zierte TYPO3 Integratoren.

Sieht gut aus, das Zer­ti­fi­kat – lei­der geht beim Scan­nen der Sil­ber­schrift­zug ver­lo­ren, sieht schwarz aus, darum hab ich den noch­mal foto­gra­fiert und links oben ins Doku­ment “geklemmt” für euch

Da müsste das auch irgendwo ste­hen: http://certification.typo3.org/index.php?id=63

Was ist ein TYPO3 Integrator?

Laut dem TYPO3 Zertifizierungs-Team ist ein “TYPO3 Inte­gra­tor” wie folgt (über­setzt aus dem Englischen):

Der “TYPO3 Inte­gra­tor” ent­wi­ckelt die Tem­pla­tes für einen Webauftritt/Website, kon­fi­gu­riert alle not­wen­di­gen Erweiterungen/Extensions und erstellt die Zugriffs­rechte für die TYPO3 Backend Benut­zer.
Der “TYPO3 Inte­gra­tor” instal­liert TYPO3 nicht auf dem Web­ser­ver und pro­gram­miert keine Erwei­te­run­gen. Er weiß wie man ein vor­in­stal­lier­tes TYPO3 mit durch den Instal­ler konfiguriert.

Na, ich bin gespannt, was es da noch für Zer­ti­fi­zie­run­gen gibt… da ich ja auch TYPO3 Erwei­te­run­gen pro­gram­miere, TYPO3 auf dem Ser­ver instal­liere, Ser­ver kon­fi­gu­riere, opti­miere, ….

Heise berich­tete bereits ges­tern über einen Feh­ler in TYPO3, mit dem man Zugriff auf jede belie­bige Datei erlan­gen kann, unter ande­rem auch auf die locallang.conf, wel­che die Zugangs­da­ten für die mySQL Daten­bank beinhal­tet, und auch den Hash Code für das Install Tool von TYPO3, mit dem man sich selbst Admin Benut­zer anle­gen kann.

Heute schon war die Web­seite des deut­schen Innen­mi­nis­ters Schäu­ble geha­cked wor­den, und erst vor ein paar Minu­ten wie­der online.

Info bei Heise: http://www.heise.de/security/Luecke-in-Typo3-ermoeglicht-Zugriff-auf-beliebige-Dateien–/news/meldung/132298
Infos zum Patchen: http://typo3.org/teams/security/security-bulletins/typo3-sa-2009–002/

Direkt­link zum Shell­script, wel­ches die TYPO3 rele­vante Datei patcht: http://typo3.org/fileadmin/security-team/bug10364/fix_10364.sh

Tipps:

• Update / Patchen!
• Install-Tool deak­ti­vie­ren! (Datei typo3conf/ENABLE_ADMIN_TOOL löschen)
• KEINE Wör­ter als Pass­wört neh­men, denn deren MD5 Hash­code kann ein­fach über google her­aus­ge­fun­den wer­den (Es gibt Sei­ten, die tau­sende von Wör­tern inklu­sive MD5 Hash­code abge­spei­chert haben, und die von google indi­ziert sind. Bei­spiel: Das Pass­wort vom deut­schen Innen­mi­nis­ter Schäu­ble war “gewin­ner”. Des­sen Hash­code ist 39e8c8f7eeec9f73f7627154fb50f128 (MD5(”gewinner”)). Wenn man das in google ein­gibt, kom­men die Ergeb­nisse von den Sei­ten md5crack.ath.cx, md5.paniert.org, milw0rm.org und www.incl.pl)!
• MySQL Zugriffe NUR von local­host zulassen!

Für die Freunde von gejail­bre­ak­ten iPho­nes gibt es ja PDANet, mit dem es mög­lich ist, durch ein AdHoc WLAN Netz­werk von Windows/Linux/MAC OS X das iPhone als Inter­net­zu­gang bzw. “Modem” zu nut­zen. Die neue Ver­sion ist unter Win­dows XP nun auch per USB Kabel nutzbar.

Ein­fach Cli­ent unter Win­dows instal­lie­ren, iPhone per USB an den Rech­ner hän­gen, PDANet star­ten, und schon lässt mein Akoya mich mit einer sehr zufrie­den­stel­len­den Geschwin­dig­keit (bei akti­vier­tem 3G) auch im Auto, im Park oder im Frei­bad sur­fen. EXTREM wich­tig, sowas .

Naja, also es ist in mei­ner Bran­che wirk­lich prak­tisch, wenn mal ein Kunde anruft und am bes­ten Vor­ges­tern etwas geän­dert braucht.

PDANet bie­tet eine 14 Tage Trial Ver­sion an, ein Kauf kos­tet per Pay­Pal ca. 38€. Güns­ti­ger als das Hofer/Aldi YES Internetangebot.

Wenn man ein eige­nes Haupt­mo­dul bzw. eine Backend-Extension für TYPO3 erstellt, ist die Posi­tio­nie­rung der Exten­sion meist sub­op­ti­mal, denn diese steht in der lin­ken Spalte ganz unten, unter dem Hilfe-Modul.
Ich habe eine Mög­lich­keit gefun­den, die­ses ganz nach oben zu posi­tio­nie­ren… das ist bei Bedarf mit ein wenig Auf­wand auch belie­big posi­tio­nier­bar. In mei­nem WIKI ist erklärt, wie man die Position/Reihung eines Backend Modul in TYPO3 beein­flus­sen kann.

Hier der Kurzhinweis:

ext_tables.php erwei­tern:

if (TYPO3_MODE == 'BE')    {
    global $TBE_MODULES; // Lade Modulliste
    t3lib_extMgm::addModule('MEINMODULNAME','','',t3lib_extMgm::extPath($_EXTKEY).'mod1/'); // Eigenes Hauptmodul

    $TBE_temp=array();
    $TBE_temp['MEINMODULNAME']=$TBE_MODULES['MEINMODULNAME']; // Speichere hinzugefügte Modulkonfiguration temporär ab!
    unset($TBE_MODULES['txchbedmmjobcontrolM1']);  //Lösche sie aus der Modulliste ganz unten
    $TBE_MODULES=array_merge($TBE_temp,$TBE_MODULES);   // Verbinde temporäres Array und Modulliste (Temporäres Array muss vorne stehen!)

}