Kernel-Secret // Mail von Christian vom 03.05.

[neelix]

Hallo Community,

Christian (Contao Academy) hat eben eine Mail verschickt, die einen Post von Leo auf Slack zitiert.

Dort heißt es, dass aktuell vermehrt Angriffe bzw. Kompromitierungen von Contao-Installationen aufgrund einer Lücke in Symphony aus 2020 auftreten.

Gegenmaßnahme ist das Setzen eines Secrets in der parameters.yml bzw. .env.local.

Jetzt bin ich gerade mal meine Instanzen durchgegangen und in jeder parameters.yml ist ein entsprechender Eintrag vorhaden. Jetzt kann ich mich nicht erinnern, den jemals aktiv gesetzt zu haben, sprich das muss der Installer gemacht haben.

Liege ich da richtig?

Neelix

[tab]

Das ist eine gute Frage . Hättest du sie nicht gestellt, hätte ich das jetzt gemacht. Bei mir ist das genauso, ein Secret ist in jeder Installation drin und ich habe es nicht gesetzt. Sie sind auch von Installation zu Installation unterschiedlich.
Das führt mich dann zur nächsten Frage: Bei welcher Art von Installation kann das überhaupt passieren. Also ein fehlendes Secret oder ein Default-Secret. Ist das mit der managed edition überhaupt möglich und falls ja, hat es damit zu tun ob direkt via composer in der Konsole installiert wurde oder mit dem Contao-Manager?

[Spooky]

Das Secret wurde in Contao 4 vom Contao Install Tool gesetzt, wenn du dort die Datenbankverbindung eingetragen hast.

[neelix]

Das führt mich dann zur nächsten Frage: Bei welcher Art von Installation kann das überhaupt passieren. Also ein fehlendes Secret oder ein Default-Secret. Ist das mit der managed edition überhaupt möglich und falls ja, hat es damit zu tun ob direkt via composer in der Konsole installiert wurde oder mit dem Contao-Manager?

Womit diese Frage dann auch geklärt wäre: Wer Contao über das (Web-) Install-Tool eingerichtet hat, hat automatisch ein Secret gesetzt und muss sich keine Gedanken machen.

Diejenigen, die Contao komplett über die CLI installieren, müssen dann wohl tätig werden. Im Handbuch konnte ich jetzt spontan keinen Hinweis darauf finden, dass man diesen Wert setzen muss.
Denn auch die Anleitung schickt einen nach der CLI Installion in den Web-Installer für die Datenbank- und Admin-Einrichtung.

Aber prinzipiell geht das auch (inzwischen) alles per CLI.