TYPO3 bis 3.8.1 typo3/t3lib/thumbs.php Designfehler

VulDB: TYPO3 bis 3.8.1 typo3/t3lib/thumbs.php Designfehler

Allgemein

scipID: 1996
Betroffen: TYPO3 bis 3.8.1
Veröffentlicht: 20.01.2006 (Rodrigo Marcos)
Risiko: problematisch
Eintrag: 87% komplett
Erstellt: 24.01.2006
Aktualisiert: 03.09.2012

Beschreibung

TYPO3 ist ein populäres open-source Content Management System (CMS), das vorwiegend im professionellen Bereich eingesetzt wird. Es gibt eine Vielzahl an Extensions, mit denen die Core-Funktionalität von TYPO3 erweitert werden kann. Rodrigo Marcos veröffentlichte ein Advisory, in dem auf die Schwäche verschiedener Komponenten hingewiesen wird. Das direkte Aufrufen von Elementen wie typo3/t3lib/thumbs.php kann die Preisgabe absoluter Pfade mit sich bringen. Diese Information kann für einen Angreifer in vielerlei Hinsicht nützlich sein. So lässt sich Beispielsweise anhand der Verzeichnisstruktur erkennen, auf welchem Betriebssystem das ganze aufsetzt. In meinem Beispiel war gar im absoluten Pfad die Versionsnummer von TYPO3 genannt. Zudem kann das Wissen um den Aufbau der Verzeichnisstruktur bei direkten Dateizugriffen enorm hilfreich sein. Als Workaround wird empfohlen, die Option display_errors zu deaktivieren und die betroffenen Bereiche auf dem Web mittels htaccess zu schützen. Mitunter wird der Fehler auch in den Datenbanken von OSVDB (22665), Secunia (SA18546) und X-Force (24244) dokumentiert.

Im hart umkämpften Software-Markt zählt vor allem eins als Verkaufsargument: Komfort für die Benutzer. Solche Schwachstellen kommen immerwieder vor. Sie sind zwar nicht wirklich problematisch, aber dennoch ein Schönheitsfehler, auf den man hätte verzichten können.