Das TYPO3 Sicherheitsteam entdeckte Sicherheitslücken im TYPO3, welche Cross-site Scriptingund SQL Injections ermöglichen, und veröffentlichte die Informationen dazu heute, am 22.10.2009 . Updates der betroffenen TYPO3 Versionen stehen bereit.
Hier die Info auf t3n.de: TYPO3: Sicherheitslücken im TYPO3-Core, Updates stehen bereit » t3n News
Hier die TYPO3 Security Bulletins: https://typo3.org/teams/security/security-bulletins/typo3-sa-2009-016/

Wie erkennt man relativ rasch, ob eine angebliche Grußkarte Spam ist?
Ich bekam heute ein Mail, wo als Absender 123greetings.com stand, eine
Grußkarten-Website.

Inhalt: (weiterlesen…)

Heise berichtete bereits gestern über einen Fehler in TYPO3, mit dem man Zugriff auf jede beliebige Datei erlangen kann, unter anderem auch auf die locallang.conf, welche die Zugangsdaten für die mySQL Datenbank beinhaltet, und auch den Hash Code für das Install Tool von TYPO3, mit dem man sich selbst Admin Benutzer anlegen kann.

Heute schon war die Webseite des deutschen Innenministers Schäuble gehacked worden, und erst vor ein paar Minuten wieder online.

Info bei Heise: http://www.heise.de/security/Luecke-in-Typo3-ermoeglicht-Zugriff-auf-beliebige-Dateien–/news/meldung/132298
Infos zum Patchen: http://typo3.org/teams/security/security-bulletins/typo3-sa-2009-002/

Direktlink zum Shellscript, welches die TYPO3 relevante Datei patcht: http://typo3.org/fileadmin/security-team/bug10364/fix_10364.sh

Tipps:

• Update / Patchen!
• Install-Tool deaktivieren! (Datei typo3conf/ENABLE_ADMIN_TOOL löschen)
• KEINE Wörter als Passwört nehmen, denn deren MD5 Hashcode kann einfach über google herausgefunden werden (Es gibt Seiten, die tausende von Wörtern inklusive MD5 Hashcode abgespeichert haben, und die von google indiziert sind. Beispiel: Das Passwort vom deutschen Innenminister Schäuble war “gewinner”. Dessen Hashcode ist 39e8c8f7eeec9f73f7627154fb50f128 (MD5(“gewinner”)). Wenn man das in google eingibt, kommen die Ergebnisse von den Seiten md5crack.ath.cx, md5.paniert.org, milw0rm.org und www.incl.pl)!
• MySQL Zugriffe NUR von localhost zulassen!