Das musste auch Herr Schäuble schon erfahren:
http://www.heise.de/newsticker/Website-von-Wolfgang-Schaeuble-ueber-Typo3-Luecke-gehackt--/meldung/132315
TYPO3 Update wirklich wichtig!
Eigentlich könnte man es ja witzig finden. Blöd ist nur, dass es jetzt wieder viele gibt, die dadurch lediglich "Typo3 = unsicher" im Gedächtnis behalten.
M;Ke
Und leider noch ein prominenter Fall wo die Lücke wahrscheinlich ausgenutzt wurde:
http://www.heise.de/newsticker/Hacker-manipulieren-Schalke-Seite--/meldung/132404
Frage mich nur warum gerade die Admins von solchen großen/prominenten Seiten nicht sofort handeln!? Besonders weil diesmal ja wirklich nur 1 Zeile im Code geändert werden musste und das konnte man bequem mit dem Shell-Skript machen ... 2 Minuten Aufwand!
Das ist ja unglaublich - Heise postet auch noch den Link zur Seite, die einem munter einen Hash Code in das Reinwort umwandelt!
Wer jetzt noch ein ungesichertes T3 nutzt kann auch gleich das Admin Passwort auf die Startseite schreiben
Mh wenn man sich den Code so anschaut benötigt man "nur" den neuen EncryptionKey. Den Rest kann man sich dann wieder zusammen rechnen. Ich gebe zu, dass ist nicht wirklich leicht ^^ Aber Lücken schleichen sich ja immer ein.
Vielleicht sollte man den Download der "typo3conf/localconf.php" explizit verbieten.
Ich hoffe TYPO3 hat jetzt keinen schlechten Ruf wegbekommen.
LittleGee schriebVielleicht sollte man den Download der "typo3conf/localconf.php" explizit verbieten.
Download? Was soll man denn downloaden können?
Wenn der juHash erforglreich ist, wird mir ja die localconf.php zum Download angeboten. Die Funktion ist eben allgemein gehalten mit $this->jumpURL. Vielleicht sollte man hier eben einen Filter einbauen, dass man eben typo3conf/localconf.php nicht laden kann.
Frage:
Sehe ich das richtig das wenn das installtool gelockt ist keine Gefahr besteht.
Geht es nur um die Anzeige des eingegebenen Passworthashes im Installtool ?????
In the file, search for the line:
------------------------
} else die('jumpurl Secure: Calculated juHash, '.$calcJuHash.', did not match the submitted juHash.');
------------------------
and replace it with:
------------------------
} else die('jumpurl Secure: Calculated juHash did not match the submitted juHash.');
Kann mir jemand erklären was der Jumpurl mechanismus macht und was daran gefählich ist ?
Und in einem Artikel stand das die Angreifer über google die urls samt hash gefunden hätten. Ich versteh garnichts mehr.
Ihr müsst euch nicht mit Informationen zurückhalten da es anscheinend sowieso diverse exploits gibt 😉
beelzebub schriebIhr müsst euch nicht mit Informationen zurückhalten da es anscheinend sowieso diverse exploits gibt 😉
frag wo anders und nicht hier. wenn du nochmal sowas fragst, such dir ein anderes forum.
ich hab den thread geschlossen