Typo3-Lücke / Bug: Hash-Cracking
Dieser bug betrifft alle Typo3-Versionen unterhalb von 4.2.6. Hier geht es um Hash-Cracking. Ist ein Angreifer einmal an den Hash des Admin-Passwortes gelangt, kann er die Inhalte der Website beliebig manipulieren.
Der Betreiber der Website hashcrack.com verzeichnet seit gestern einen "Boom" bei der Nutzung des Online-Dienstes zum Knacken von MD5-Hashes. Die Zugriffszahlen hätten sich innerhalb von zwei Tagen rund verzehnfacht.
Um die Sicherheitslücke in Typo3 auszunutzen, muss ein Angreifer das zu einem MD5-Hash gehörige Passwort herausbekommen. Ist ein Angreifer einmal an den Hash des Admin-Passwortes gelangt, kann er die Inhalte der Website beliebig manipulieren. Auf diese Weise veränderten Unbekannte beispielsweise die Internetpräsenz von Innenminister Wolfgang Schäuble und des Fußballvereins FC Schalke 04.
Da die Typo3-Hashes kein sogenanntes Salz enthalten – einen Zufallsanteil, der gewisse Knackmethoden vereitelt – lassen sich die Passwörter mit Hilfe von Regenbogentabellen und Hashdatenbanken wie hashcrack.com innerhalb weniger Minuten bis Tage berechnen. Regenbogentabellen erreichen je nach Zeichenvorrat und Länge der anvisierten Passwörter sowie der gewünschten Erfolgsquote eine Größe von mehreren hundert Gigabyte. Ihre Berechnung benötigt teils Monate auf spezieller Hardware, doch einmal erstellt lassen sie sich für alle ungesalzenen Hashes verwenden.
Typo3,org bietet ein System-Update und einen Bugfix an:
Update auf Version 2.4.6:
http://typo3.org/download/packages/
Bugfix:
http://typo3.org/teams/security/security-bulletins/typo3-sa-2009-002/
Wichtig:
Danach bitte unbedingt in das Install-Tool gehen und dort einen neuen Encryption-Key generieren lassen!
Keine Einträge
Kommentar schreiben...
