Vulnerabilidad Zero Day en el Script TimThumb, presente en muchos temas de WordPress

Un grave fallo de seguridadha estado dando problemas en Internet luego de que el script TimThumb que está presente en muchos temas de WordPress fuera hackeado mediante una vulnerabilidad Zero Day. El problema radica en la forma en la que valida la URL en la que está la imagen puesto que busca la concordancia del nombre del host con toda la cadena entera de la dirección de la imagen.

Así, por ejemplo, si en los sitios admitidos de TimThumb se encuentra el texto “blogger.com”, TimThumb entiende que “blogger” puede acortar imágenes desde el script, pero también puede el dueño de una web que se llame “blogger.com.sitiowebatacante.com” puesto que no valida correctamente el nombre del host, sino que busca concordancias.

Una solución práctica es eliminar en la linea 27, todos los valores que estén dentro del paréntesis que tienen algunas direcciones URL y que se ve algo similar a:

$allowedSites = array (valores, dentro, del, parentesis);

Y dejarlo totalmente vacío, sin ningún campo dentro y que el paréntesis quede como array(); y nada extra, lo que te prohibirá que puedas redimensionar imágenes que estén fuera de tu dominio. Ahora, una solución alternativa y extra es deshabilitar la ejecución de archivos PHP dentro del directorio donde se guardan las imágenes recortadas. Para ello, crea un archivo .htaccess nuevo en ese directorio -no lo pongas en la raíz, ni edites el .htaccess que está en la raíz- y escribe dentro lo siguiente:

AddHandler cgi-script .phpOptions -ExecCGI

Y luego guárdalo. Lo que hará este archivo es fijar que los archivos .php se ejecuten como scripts CGI y luego deshabilitar la opción que los hace funcionar -por eso el signo menos antes de ExecCGI- y así aunque el atacante pueda subir una shell en PHP, como comentan algunos blogs de habla inglesa, no podrá hacer mucho.

Aunque no es una solución del todo funcional, puesto que podrían haber alternativas de evasión de este código, te recomiendo que actualices tu script TimThumb desde el SVN de GoogleCode -donde está alojado- ingresando a esta dirección, y reemplazarlo por el script que actualmente tienes. Además, lo mejor es hacer ambos cambios -editando el PHP y agregando el .htaccess- para una mayor seguridad.

Como dato adicional, la gente de Sucuri ha hecho una extensa lista donde puedes encontrar los temas afectados por el fallo de seguridad, puesto que todos utilizan el script TimThumb para servir miniaturas.