Fas servir un script per fer miniatures d’imatges?

Doncs comprova si estàs fent servir l’script timthumb.php ja que s’ha descobert una vulnerabilitat Zero Day -és a dir, que ha existit sempre-. És un script força estès i sobretot molt comú en themes de WordPress.

Molt resumidament es pot explicar com que aquest script permet carregar imatges des de servidors externs de confiança (Wikipedia, Flickr, Picasa, …) però el problema està en comprovar el domini de les imatges. El desenvolupador va fer que només es comprovés si existia el nom del domini dins de l’URL de manera que es pot generar una URL qualsevol que ens permeti pujar, i executar, fitxers en el servidor. Per exemple: http://flickr.com.elmeudominiperhackejar.com

La manera d’aprofitar-se d’aquest forat de seguretat no l’explico, deixo l’enllaç a una entrada en anglès on s’explica millor.

Com solucionar-ho?

Hi ha dues maneres. Si feu servir l’script sense modificar, el millor és actualitzar a l’última versió que comprova les URL de manera correcte.

Si heu creat una modificació de l’script i voleu corregir-ho ràpidament poder modificar l’array de la variable $allowedSites deixant-la en blanc.

Cercar

$allowedSites = array (
	'flickr.com',
	'picasa.com',
	'blogger.com',
	'wordpress.com',
	'img.youtube.com',
	'upload.wikimedia.org',
	'photobucket.com',
);

Modificar per

$allowedSites = array ();