Jimdo – Eine Online-Plattform auf dem Prüfstand

Jimdo ist ein deutsches Unternehmen, das 2007 von den Brüdern Matthias und Fridtjof Detzner in Hamburg gegründet wurde. Die Online-Plattform ermöglicht es Nutzern, ohne technisches Vorwissen ihre eigene Website zu erstellen. Jimdo bietet dabei verschiedene Templates und Design-Optionen an, die es den Nutzern erleichtern, ihre Websites individuell zu gestalten. Mit über 25 Millionen erstellten Websites ist Jimdo zu einem wichtigen Akteur im Bereich der Website-Erstellung geworden. In der Vergangenheit hat Jimdo mit wirtschaftlichen Problemen zu kämpfen gehabt. Im Jahr 2015 kündigte das Unternehmen an, 31 Mitarbeiter zu entlassen, was rund 20% seiner damaligen Belegschaft betraf. Im Jahr 2017 gab es eine weitere Entlassungswelle, bei der rund 20 Mitarbeiter ihren Job verloren (vgl. Business Insider 2022a). Im Juli 2022 kündigte Jimdo erneut an, dass es weitere Entlassungen geben wird. Dieses Mal sollten 20 von insgesamt 50 Teammitgliedern entlassen werden. Das Unternehmen begründete diese Entscheidung mit der Notwendigkeit, sich auf das Kerngeschäft zu konzentrieren und das Unternehmen auf eine solide Basis zu stellen (vgl. Business Insider 2022b). Im November 2022 gab Jimdo bekannt, dass es erneut zu Entlassungen kommen wird. Dieses Mal sollen 16% seiner Belegschaft entlassen werden. Das Unternehmen plant, sich stärker auf die Entwicklung neuer Produkte und Dienstleistungen zu konzentrieren, um sein Geschäftsmodell zu erweitern und [...]

2023-03-28T16:55:16+02:00März 28th, 2023|Allgemein, CMS|Kommentare deaktiviert für Jimdo – Eine Online-Plattform auf dem Prüfstand

Sicherheitslücke im CMS Drupal erlaubt Website-Übernahme

Eine Drittherstellerbibliothek erzeugt Sicherheitslücken im CMS Drupal. Die US-amerikanische Cyber-Sicherheitsbehörde CISA rät jetzt zur Aktualisierung. BVon der US-amerikanischen Cyber-Sicherheitsbehörde CISA kommt die Warnung vor einer Schwachstelle im Content Management System (CMS) Drupal. Angreifer könnten möglicherweise durch Sicherheitslücken aus der Ferne die Kontrolle über eine betroffene Internetpräsenz übernehmen. Diese Sicherheitslücke findet sich nicht im eigentlichen Drupal-Code, sondern in der Bibliothek Guzzle eines Drittherstellers. Über Guzzle wickelt Drupal HTTP-Anfragen und -Antworten an externe Dienste ab. Inzwischen hat das Guzzle-Projekt ein Update veröffentlicht, dass zwar nicht den Drupal-Core betrifft, aber Auswirkungen auf beigesteuerte Projekte oder speziell angepassten Code von Drupal-Seiten haben könnte. Der Fehler in Drittherstellerbibliothek Guzzle Die Schwachstelle im Guzzle-Projekt bezeichnen die Entwickler als "Cross-Domain Cookie Leakage". Der Fehler ist eine fehlende Prüfung, ob die Domain eines Cookies mit derjenigen des Servers übereinstimmt, der es über den "Set-Cookie"-Header setzt. Dadurch könnte ein bösartiger Server auch Cookies für andere Domains setzen. Als Beispiel nennen die Entwickler, dass www.example.com ein Session-Cookie für api.example.net setzen könne. Der Guzzle-Client logge sich dann ins Konto ein und könne so an die privaten API-Anfragen aus dem Sicherheitsprotokoll gelangen (CVE-2022-29248, CVSS 8.0, Risiko "hoch"). In ihrem Security Advisory schreiben die Drupal-Entwickler, dass sie die Sicherheitsmeldung deshalb außerhalb des üblichen Zeitrahmens herausgegeben haben, weil das Guzzle-Projekt schon Informationen über die [...]

2022-05-31T17:15:10+02:00Mai 31st, 2022|CMS, Sicherheit|Kommentare deaktiviert für Sicherheitslücke im CMS Drupal erlaubt Website-Übernahme

Nicht mehr unterstützte Drupal-Erweiterungen deinstallieren

Weil die Entwickler Sicherheitslücken in ihren Erweiterungen nicht geschlossen haben, hat Drupal diese auf den Status "unsupported (nicht unterstützt)“ gesetzt und rät zur Deinstallation. Auf seiner Webseite listet Drupal viele Erweiterungen auf, mit dem die Admins das CMS erweitern können. Jetzt haben die Entwickler verschiedene dieser Erweiterungen in den Status "unsupported" versetzt, weil deren Entwickler nicht auf Meldungen von Sicherheitslücken reagiert und diese auch nicht beseitigt haben. Das Risiko durch diese Erweiterungen stufen die Drupal-Macher als kritisch ein und empfehlen den Nutzern, die betroffenen Erweiterungen jetzt zu deinstallieren. Große Zahl von Erweiterungen ohne Unterstützung Die Liste auf Drupals contrib-Seite enthält aktuell 16 Erweiterungen mit bekannten Sicherheitslücken, bei denen bisher niemand diese Schwachstellen beseitigt hat. Dabei geht es um diese Erweiterungen: Printer, email and PDF versions, Image Media Export Import, Remote Stream Wrapper, Vendor Stream Wrapper, Cog, Media Entity Flickr, Vocabulary Permissions Per Role, Exif, Business Responsive Theme, Swiftype integration, Rate, Expire reset password link, Admin Toolbar Search, Colorbox, Taxonomy Access Control Lite, Prevent anonymous users to access Drupal pages. Solange diese Drupal-Erweiterungen noch keine neuen Betreuer haben, sollten sie dringend deinstalliert werden. Ansonsten könnten Angreifer möglicherweise die bekannten Schwachstellen dafür ausnutzen, in verwundbare Drupal-Instanzen einzudringen.

2022-01-28T12:20:22+02:00Januar 28th, 2022|CMS, Sicherheit|Kommentare deaktiviert für Nicht mehr unterstützte Drupal-Erweiterungen deinstallieren

Sicherheitsupdate: Angriffe auf Drupal-Admins möglich

Weil Angreifer mit dem CMS Drupal erstellte Websites attackieren könnten, haben die Entwickler des Content Management Systems Drupal jetzt zwei Sicherheitslücken geschlossen, deren Risiko die Entwickler insgesamt  als "moderat kritisch" ein stufen. Die Probleme stecken im CKEditor Beiden Schwachstellen (CVE-2021-41164 "hoch", CVE-2021-41165 "mittel") stecken in dem in Drupal integrierten CKEditor. Allerdings sollen einer Warnmeldung zufolge aber nur solche Websites angreifbar sein, bei denen die CKEditor-Bibliothek für die WYSIWYG-Bearbeitung aktiviert ist. Ob das standardmäßig so eingestellt ist, geht aus der Meldung leider nicht hervor. In einem so eingestellten System könnten Angreifer Inhalte erstellen oder verändern. Außerdem ist es denkbar, dass etwa Admins ins Visier von XSS-Angriffen geraten. Die bereinigten Versionen Die Drupal-Versionen 8.9.20, 9.1.14 und 9.2.9 sind jetzt gegen solche Angriffe abgesichert worden. Für 9er-Versionen vor 9.1.x ist der Support inzwischen ausgelaufen und es gibt keine Sicherheitsupdates mehr. Für Drupal 8 ist es der letzte Sicherheitspatch.  Weil Drupal 7 den CKEditor nicht benutzt, ist diese Version insgesamt nicht von dem Problem betroffen.

2021-11-19T18:13:23+02:00November 19th, 2021|CMS, Sicherheit|Kommentare deaktiviert für Sicherheitsupdate: Angriffe auf Drupal-Admins möglich

Auch Google will IndexNow jetzt testen

Microsoft und Yandex haben mit IndexNow eine Initiative zur Entlastung von Suchmaschinen gestartet. Google steht dem Projekt mittlerweile wohl offen gegenüber, denn der Suchmaschinenriese will IndexNow jetzt auch testen. Zunächst hatten sich nur Microsoft und Yandex für diese Initiative zusammengetan, mit der Webmaster neue Inhalte einfacher an die Suchmaschinen melden können. Außerdem soll mit dem Protokoll die Indizierung der Inhalte beschleunigt werden, denn meist bilden die Crawler bei der zügigen Indizierung neuer Inhalte den Flaschenhals. Deshalb soll das neue Protokoll an dieser Stelle für Entlastung sorgen. Eine Lösung für WordPress ist in der Diskussion Ein weiterer geeigneter Partner für IndexNow könnte auch das meistgenutzte CMS der Welt WordPress sein. Mit diesem CMS arbeiten momentan knapp 43 Prozent aller Websites . Deshalb wäre es für das Projekt recht wichtig, dass auch das führende CMS bei IndexNow mit dabei ist. Für WordPress hat Microsoft schon eine Code-Lösung vorgeschlagen, aber einem der leitenden Entwickler bei WordPress scheint es ni8cht zu gefallen, dass der Code in den WordPress-Core integriert werden soll – er schlägt stattdessen eine Plugin-Lösung vor…

2021-11-12T10:20:16+02:00November 12th, 2021|CMS, Coding, Webwerkzeuge|Kommentare deaktiviert für Auch Google will IndexNow jetzt testen

Neu: Typo3 11.5 „Warp Speed“mit PHP 8 und LTS

Die neueste Version "Warp Speed" des CMS Typo3 soll jetzt schneller sein und auch einen Long Term Support (LTS) von drei Jahren bieten. Für Redakteure und Entwickler bringt das Open-Source-Tool Typo3 11.5 Neuerungen, die besonders in Sachen Geschwindigkeit beeindrucken sollen. Außerdem soll eine in das Backend integrierte Zwei-Faktor-Authentifizierung  für mehr Sicherheit sorgen. Mit dem Update werden auch zwei Sicherheitslücken geschlossen. Vereinfachte Links aus dem Backend In der neuen Version des CMS sollen Redakteure Links zu internen Seiten und Dateien über ein Symbol oben rechts im Backend einfacher teilen können. Dadurch kann zum Beispiel ein anderer Benutzer den geteilten Link anklicken und direkt beim Prüfen von Inhalten oder dem Bearbeiten von Aufgaben unterstützen. Bearbeitung von Dateilisten Die Dateiverwaltung im integrierten Digital Asset Management (DAM) von Typo3 wurde ebenfalls optimiert. Redakteure können jetzt die Metadaten von mehreren Dateien gleichzeitig einsehen und bearbeiten und erkennen dadurch, ob noch alternative Bildtexte oder ähnliche Daten fehlen. Es können jetzt auch mehrere Dateien zum Download ausgewählt und dann als ZIP-Datei heruntergeladen werden. Unterstützung für PHP 8 Typo3 11.5 unterstützt jetzt auch die Ende letzten Jahres erschienene aktuellste Version 8 der Programmiersprache PHP und auch die HTTP-Messaging-Spezifikation. Die Empfehlungen der PHP-Standards PSR-7 und PSR-17 wurden mit umgesetzt. Die Unterstützung für den PHP-basierten Dependency-Manager [...]

2021-10-07T16:29:47+02:00Oktober 7th, 2021|CMS, PHP, Webwerkzeuge|Kommentare deaktiviert für Neu: Typo3 11.5 „Warp Speed“mit PHP 8 und LTS

Drupal: Updates für Core-Module des CMS

Für das QuickEdit-Modul, die JSON:API- and REST/File-Module sowie das Media-Modul des Drupal-Kerns in den beiden Versionsreihen 8.x und 9.x des CMS stehen seit letzter Woche Aktualisierungen bereit. Mit den neuen Versionen von Drupal werden insgesamt fünf Sicherheitslücken geschlossen, die von den Entwicklern als "moderat kritisch" eingestuft wurden. Durch diese Lücken könnten Angreifer unter bestimmten Voraussetzungen zum Beispiel Zugriffs- und Validierungsmechanismen umgehen und dann auf vertrauliche Daten zugreifen. Weitergehende Informationen zu den Sicherheitslücken und den dagegen verfügbaren Updates finden Sie in den Advisories des Drupal-Teams: Access Bypass - SA-CORE-2021-010 Access bypass - SA-CORE-2021-009 Access bypass - SA-CORE-2021-008 Cross Site Request Forgery - SA-CORE-2021-007 Cross Site Request Forgery - SA-CORE-2021-006

2021-09-20T13:17:29+02:00September 20th, 2021|CMS, Sicherheit|Kommentare deaktiviert für Drupal: Updates für Core-Module des CMS

Drupal: Sicherheitsupdates für Open Social und Subgroup

Drupal-Nutzer, die die Drupal-Module "Open Social" und "Subgroup" benutzen, sollten die Updates einspielen, die zwei Schwachstellen in Open Social und eine in Subgroup beseitigen. Unter ganz bestimmten Voraussetzungen könnten nämlich Angreifer diese Schwachstellen missbrauchen, um sich darüber unbefugten Zugriff auf Informationen und auch die Erweiterung ihrer Rechte innerhalb bestimmter Gruppen zu verschaffen. Die Schwachstellen im Modul Open Social wurden als "moderat kritisch" eingestuft. Benutzern der Hauptversion 8 wird das Update auf die abgesicherte Version 8.x-8.10 empfohlen. Benutzer von Version 9 sollten ihr CMS auf 8.x-9.8 aktualisieren. Die Einstufung der Schwachstelle im Modul Subgroup ist "weniger kritisch". Diese wurde mit der Version 1.0.1 behoben. Dabei empfiehlt das Advisory das Leeren des Caches direkt nach der Installation. Weiterführende Informationen und Updates Aktuell wurden noch keine Exploits im Netz beobachtet. Der Missbrauch der Schwachstellen setzt auch bestimmte Modul-Konfigurationen und in einem der Fälle ein Login mit normalen Nutzerrechten voraus. Detailliertere Informationen und auch die Links zu den verfügbaren Updates finden Sie in den Security Advisories zu den drei Schwachstellen: Open Social - Access bypass - SA-CONTRIB-2021-001 Open Social - Access bypass - SA-CONTRIB-2021-002 Subgroup - Access bypass - SA-CONTRIB-2021-003

2021-02-02T12:52:59+02:00Februar 2nd, 2021|CMS, Coding, Sicherheit|Kommentare deaktiviert für Drupal: Sicherheitsupdates für Open Social und Subgroup

Update für Drupal macht Archiv-Uploads sicher

In einer der Bibliotheken, die das beliebte CMS Drupal einsetzt, steckt ein Fehler und gefährdet Internetseiten mit bestimmten Einstellungen der Konfiguration. Inzwischen sind aber schon Sicherheitsupdates verfügbar. Es gibt aber auch einen Workaround, über den die Admins die Seiten auch einen gegen solche Angriffe schützen können. Die in der Warnmeldung der Entwickler als „kritisch“ bezeichnete Lücke (CVE-2020-36193) steckt in der pear-Archive_Tar-Bibliothek. Diese Library kümmert sich um die Verarbeitung von komprimierten Archiven wie zum Beispiel .tar. War ein Angriff erfolgreich, dann könnten Angreifer schreibend auf den Internetserver zugreifen (Directory Traversal). Workaround: Upload von Archiven verbieten Allerdings sind nur Seiten bedroht, bei denen der Upload solcher Dateien erlaubt ist. Wenn die Admins diese Funktion deaktivieren, ist die Gefahr erst einmal gebannt. Besser wäre es aber, jetzt eine der abgesicherten Versionen 7.78, 8.9.13, 9.0.11 oder 9.1.3 zu installieren. Die Drupal-Entwickler weisen auch darauf hin, dass der Support für älter Versionen als 8.9.x inzwischen ausgelaufen ist und dass diese veralteten Versionen keine Sicherheitsupdates mehr bekommen.

2021-01-22T10:26:51+02:00Januar 22nd, 2021|CMS, Sicherheit|Kommentare deaktiviert für Update für Drupal macht Archiv-Uploads sicher

Drupal: SQL-Injection-Angriffe auf OAuth-Server-Modul

Wer bei seinem Content-Management-System (CMS) Drupal Version 8 das OAuth-Server-Modul installiert hat, läuft Gefahr, über SQL-Injection angegriffen zu werden und sollten so schnell wie möglich ein Update auf das OAuth-Server-Modul für Drupal 8 auf die Version 8.x-1.1 durchführen. Nach einem aktuellen Sicherheitshinweis sind ältere Versionen des OAuth-Server-Moduls anfällig für Angriffe über SQL Injection. Die neue Version 8.x-1.1 schließt die als „moderat kritisch“ bewertete Lücke. Leider kann man dem Security Advisory SA-CONTRIB-2020-034 keine Details beispielsweise zu möglichen Konsequenzen eines erfolgreichen Angriffs auf die mit "moderately critical" bewertete Lücke entnehmen. Verwundbar soll der der komplette Versionszweig 8.x sein, weshalb auch die Entwickler ein Update auf die abgesicherte OAuth-Server-Modulversion 8.x-1.1 empfehlen.

2020-10-16T20:05:54+02:00Oktober 16th, 2020|Allgemein, CMS, Sicherheit|Kommentare deaktiviert für Drupal: SQL-Injection-Angriffe auf OAuth-Server-Modul
Nach oben