[TYPO3-german] Sicherheitslecks in Extension "sr_feuser_register"

[Marcel Burkhalter]

>> Erstmal grundsätzlich: wo stellt man Fragen zu TYPO3 Security Bulletins?
>> Eine separate Security Newsgroup gibt es nicht oder?
> ne, wäre auch nicht so geschickt.

Wie geschickt das ist, hängt ja wohl stark davon ab, WAS dort genau 
diskutiert wird...

>> Im Bulletin 
>> (http://typo3.org/teams/security/security-bulletins/typo3-20080515-1/) 
>> steht u.a.:
>> Remote Command Execution is also possible allowing the deletion of 
>> arbitrary files on the webserver.
>>
>> Weiss jemand, wie weit das geht?
> hoffentlich nicht;)

Hoffentlich schon!

>
>> Dank Fileberechtigungen sollte in einer shared Umgebung kein Schaden 
>> ausserhalb des Hostings, auf welcher die Extension läuft, angerichtet 
>> werden können, oder??
>> Bzw. bei Files mit 777 Berechtigung wird es heikel was?
> wenn Du befürchtest, dass darüber jemand auf Dein System gekommen ist, 
> dann solltest Du Dich mit security@ in Verbindung setzen.
>
> Grundsätzlich sollten Sicherheitsrelevante Dinge nicht in den öffentlichen 
> Newsgroups diskutiert werden.

Natürlich nicht, wie eine Lücke genau ausgenutzt werden kann. Aber eine 
detaillierte Beschreibung des Risikopotenzials wäre wichtig, um daraus 
Massnahmen abzuleiten.
Eine Lücke, die den gesamten Server, und nicht nur ein einzelnes Hosting 
betreffen kann, bedarf schnellerer und vorallem umfassender Massnahmen (man 
kann die Extension nicht einfach sein lassen, nur weil der Kunde sich nicht 
an den Updatekosten beteiligen will).
Nur weil ein Leck als "HIGH" eingestuft wird, heisst das noch lange nicht, 
dass ich Zeit habe die Extension am selben Tag bei mehreren duzend 
Installationen zu aktualisieren...


Gruss
Marcel