Erhöhte Sicherheitsbedrohung: Wichtige TYPO3 Scheduler-Modul-Schwachstelle entdeckt

15.01.2025
In einer aktuellen Untersuchung wurde eine kritische Sicherheitslücke in der TYPO3 CMS-Plattform aufgedeckt, die speziell das Scheduler-Modul betrifft. Diese Schwachstelle, bekannt als Cross-Site Request Forgery (CSRF), kann erhebliche Risiken bergen, wenn sie nicht umgehend geschlossen wird. Erfahren Sie, welche Maßnahmen zur Behebung wichtig sind und wie Sie die Integrität Ihrer TYPO3-Anwendungen sichern können.

Wichtige Sicherheitslücke im TYPO3 Scheduler-Modul identifiziert

In der TYPO3 CMS-Plattform wurde eine Sicherheitslücke entdeckt, die insbesondere das Scheduler-Modul betrifft. Diese Schwachstelle, die als Cross-Site Request Forgery (CSRF) klassifiziert wird, kann potenziell großen Schaden verursachen, wenn sie nicht behoben wird.

Technische Details zur Sicherheitslücke

Der identifizierte Fehler betrifft die Backend-Benutzeroberfläche, insbesondere bei der Verwendung von Deep Links. Bei einem erfolgreichen Cyberangriff kann ein Angreifer dazu gebracht werden, auf einen manipulierten Link zu klicken, während er eine aktive Sitzung im Backend hat. Dies könnte geschehen, wenn die Sicherheitseinstellungen nicht optimal konfiguriert sind, insbesondere wenn die security.backend.enforceReferrer-Funktion deaktiviert ist und die BE/cookieSameSite-Einstellung auf lax oder none gesetzt wurde. Diese Lücke im Scheduler-Modul kann im schlimmsten Fall zu unautorisierten Datenimporten oder -exporten führen.

Maßnahmen zur Behebung der Schwachstelle

Es wird dringend empfohlen, auf die neueste TYPO3-Version 11.5.42 ELTS zu aktualisieren, um diese Sicherheitsanfälligkeit zu beheben. Stellen Sie sicher, dass die Sicherheitseinstellungen im Backend so konfiguriert sind, dass die Referrer-Kontrolle erzwungen wird und BE/cookieSameSite auf strict gesetzt ist. Diese Einstellungen sind standardmäßig aktiviert und sollten nicht manuell verändert werden.

Entwickler von TYPO3-Erweiterungen sollten auch ihre eigenen Codebasen überprüfen und aktualisieren. Detaillierte Anweisungen und Empfehlungen finden sich in der offiziellen TYPO3-Dokumentation zu Sicherheitsüberlegungen für Backend-Module.

Weiterführende Empfehlungen und Danksagungen

Wir danken den Mitgliedern der TYPO3-Community, insbesondere Gabriel Dimitrov sowie den Verantwortlichen des TYPO3-Kernsicherheits-Teams, die entscheidend zur Identifikation und Behebung dieses Problems beigetragen haben.

Für weitere Sicherheitsrichtlinien wird empfohlen, den TYPO3 Security Guide zu konsultieren und den TYPO3-Announce-Mailing-Listen beizutreten. Dies gewährleistet, dass Sie immer über die neuesten Sicherheitsempfehlungen auf dem Laufenden bleiben.

Durch das zügige Ergreifen geeigneter Maßnahmen können potenzielle Risiken minimiert und die Integrität Ihrer TYPO3-Webanwendungen gesichert werden.

Kennen Sie schon unsere
TYPO3-Update-Flatrate?

Gerne bieten wir Ihnen unsere TYPO3-Update-Flatrate an. Wir halten Ihre Seite ganz ohne ihr Zutun im Hintergrund immer aktuell. Auch über Major-Versionen hinweg.
Das Beste: Wir veranschlagen dafür einen monatlichen Festpreis - garantiert keine versteckten Kosten.

Lassen Sie Ihre Kontaktdaten im nachfolgenden Formular, um weitere Informationen zu erhalten.

Wir geben diese Nummer niemals weiter.
Nur zur Bearbeitung dieser Anfrage. Wir versenden niemals Spam.