[TYPO3-german] Potenzieller Schadcode in /typo3/sysext/core/Classes/Resource/ResourceCompressor.php

[Dr. Dieter Porth]

Hallo Bettina,

den Hinweis von Michael zum Veröffentlichen von Sicherheitslücken finde 
ich durchaus richtig. die betroffene Datei hätte nicht genannt werden 
müssen.

Ich hatte ein ähnliche Problem mal bei einem anderen Hoster mit einer 
statischen HTML-Datei. Die Information war damals auch fürn Eimer und 
ohne jeden Inhalt. Da sie nicht begründet werden konnte, warum der 
Parser einen Schadcode erkannte, wurde die Seite auf eine Whitelist 
gesetzt und guts wars.

Grundsätzlich würde ich einmal um detaillierte Informationen bitten. 
Sollte nur ein lapidare Hinweis kommen, wie es bei Dir der Fall zu sein 
scheint, würde ich im zweiten Schritt schon mal mögliche 
Schadensersatzansprüche durchklingen lassen, denn eine Sperrung eines 
Service ohne solide Begründung ist vermutlich unangemessen und die 
Sperrung könnte damit schadensersatzpflichtig werden; glaube ich. Aber 
ich bin kein Jurist – und Gerechtigkeit und Recht stehen zunehmend 
seltener auf der gleichen Seite, wenn man mal den wachsenden 
Polizeischutz für Gerichte als Indikator nimmt.

Grundsätzlich finde ich es okay, wenn die Hoster den Code der User auf 
Schadcode testen . Normalerweise gibt es aber anfänglich einen 
Warnhinweis vom Hoster und hoffentlich weiterführend Informationen, so 
dass man Zeit zur Korrektur hat. Ungewöhnlich finde ich schon, wenn hier 
scheinbar sofort den Server gesperrt wurde (oder wurden Mails 
übersehen?). Es kann natürlich über deren AGB abgesegnet sein, aber 
solche AGBs wären ein Grund, den Hoster zu wechseln, weil dann in 
Zukunft jeder 'Pubs' zur Sperrung führen könnte.

Mit besten Grüßen

Dieter



Am 05.07.2017 um 21:08 schrieb Bettina Graab:
> Hosteurope hat mir heute den Server gesperrt und mir eine Liste mit 
> Dateien zur Verfügung gestellt, die mich doch recht stutzig gemacht 
> haben und ich habe dem Support gesagt, das kann nicht sein!
>
> /201706/typo3cms/typo3_src-7.6.16/typo3/sysext/core/Classes/Resource/ResourceCompressor.php 
>
> /201706/typo3cms/typo3_src-7.6.19/typo3/sysext/core/Classes/Resource/ResourceCompressor.php 
>
>
> Ich habe am Sonntag das aktuelle Update über das Install Tool 
> eingespielt und keine Dateien per Copy&Paste irgendwie mit rüber 
> geschleppt.
>
> Die Datei habe ich, zumindest auf Zeilenlänge, mit derselben Datei 
> einer anderen TYPO3-Installation verglichen und die Anzahl der Zeilen 
> passt.
>
> Hosteurope behauptet nun, in dieser Datei sei eine Sicherheitslücke, 
> deshalb wurde sie als "potenzieller Schadcode" eingestuft.
>
> Kann jemand etwas dazu sagen?
>
> Viele Grüße
> Bettina
> _______________________________________________
> TYPO3-german mailing list
> TYPO3-german at lists.typo3.org
> http://lists.typo3.org/cgi-bin/mailman/listinfo/typo3-german

-- 
----
Dr. Dieter Porth - Web-Entwickler