Eine TYPO3 Security Advisory ist erschienen: was jetzt zu tun ist
Eine E-Mail-Benachrichtigung oder ein Hinweis auf news.typo3.com/security: Eine neue TYPO3 Security Advisory ist da. Was jetzt zählt, ist nicht Tempo um jeden Preis, sondern die richtige Reihenfolge.
Advisory lesen, nicht nur überfliegen
Jede Advisory trägt eine eindeutige Kennung, TYPO3-CORE-SA-JJJJ-NNN für den Core, TYPO3-EXT-SA-JJJJ-NNN für Extensions, dazu eine CVSS-Einstufung von niedrig bis kritisch und den genauen betroffenen Versionsbereich. Der erste Schritt ist simpel, aber oft übersprungen: prüfen, ob die eigene Installation überhaupt im betroffenen Versionsbereich liegt, und ob die betroffene Komponente, Core oder eine bestimmte Extension, tatsächlich im Einsatz ist.
Dringlichkeit richtig einschätzen
Die CVSS-Einstufung gibt einen ersten Anhaltspunkt, ersetzt aber keine eigene Einordnung. Eine kritische Schwachstelle in einer öffentlich erreichbaren Funktion verlangt zeitnahes Handeln. Eine niedrig eingestufte Lücke, die etwa erweiterte Backend-Rechte voraussetzt, hat in vielen Fällen kein sofortiges Zeitfenster von Stunden, verdient aber trotzdem einen festen Termin, keinen unbestimmten.
Patchen: der eigentliche Vorgang
Bei Core-Advisories folgt in der Regel ein Composer-Update auf die gepatchte Version innerhalb derselben Minor-Version, kein Versionssprung. Bei Extension-Advisories reicht meist ein Update der betroffenen Extension allein. Vor dem Einspielen auf der Produktivumgebung ein Testlauf auf einer Kopie: Ein Sicherheitspatch darf nicht zum Anlass für einen neuen, ungeplanten Ausfall werden.
Wenn ein sofortiges Update nicht möglich ist
Manche Advisories nennen einen Workaround für Systeme, die nicht sofort aktualisiert werden können, etwa eine temporäre Konfigurationsänderung. Ein Workaround ist eine Übergangslösung, kein Ersatz für das eigentliche Update, und sollte mit einem festen Termin für das nachträgliche Patchen verbunden sein.
Was das für den laufenden Betrieb bedeutet
Wer Advisories nicht selbst aktiv verfolgt, news.typo3.com/security bietet dafür einen eigenen Feed, erfährt von einer Lücke oft erst deutlich später als nötig. Wie sich eine bestehende Installation grundsätzlich auf einen guten Umgang mit Advisories vorbereiten lässt, Versionsstand, Extension-Bestand, Update-Prozess, beschreiben wir auf der Seite TYPO3-Sicherheit für bestehende Installationen.
Den Hintergrund zu CVE-Nummern, Schweregrad-Einstufung und dem LTS-Patch-Rhythmus erklären wir ausführlich in TYPO3-Sicherheit: Schwachstellen, Updates und Extensions im Vergleich.
Quellen: TYPO3 Security Advisories (typo3.org/help/security-advisories); TYPO3 Explained: Security Bulletins (docs.typo3.org/m/typo3/reference-coreapi/10.4/en-us/Security/GeneralInformation/Index.html)
