Zero day in un’utility di visualizzazione immagini di WordPress

È stata scoperta una vulnerabilità nell’utility TimThumb utilizzata da molti temi di WordPress per visualizzare le immagini.

TimThumb è ampiamente utilizzato da numerosi temi, sia gratuiti sia commerciali.

La vulnerabilità può essere sfruttata per caricare ed eseguire del codice PHP direttamente dalla directory di cache di TimThumb.

Per risolvere il problema bisogna cercare il file timthumb.php all’interno dell’installazione di PHP e modificarlo, se necessario. Se viene utilizzato da un tema, il file si trova in wp-content/themes/[nome del tema]/ o in una delle sue sottodirectory.

Il metodo per trovare il file, se esiste, e di editarlo dipende dall’installazione di WordPress e dalla modalità con cui si accede ad essa.

Una volta identificato il file, bisogna cercare nelle prime righe se esiste questo pezzo di codice:

// external domains that are allowed to be displayed on your website
$allowedSites = array (
        'flickr.com',
        'picasa.com',
        'blogger.com',
        'wordpress.com',
        'img.youtube.com',
        'amazonaws.com',
);

che deve essere sostituito con un array vuoto:

// external domains that are allowed to be displayed on your website
$allowedSites = array ();

Se il codice non esiste, si sta utilizzando una versione più vecchia dell’utility, che non dovrebbe essere interessata dal baco.

Per la cronaca, la skin di Siamo Geek non contiene TimThumb. (via The Hacker News)