Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

30/06/2014

Zero-day en TimThumb para WordPress

Recientemente se ha dado a conocer una vulnerabilidad de tipo Zero Day en un complemento para WordPress. TimThumb es un complemento para imágenes usado en varios temas (themes) y plugins.

La vulnerabilidad descubierta por Pichaya Morimoto en TimThumb, en WordPress 2.8.13, reside en su característica “Webshot”. Cuando esta se encuentra activada, le permite a un atacante ejecutar comandos remotamente.

Particularmente, lo que sucede es que se ejecuta código PHP arbitrario de forma remota en el sitio afectado, lo cual lo deja comprometido a voluntad del cibercriminal. Hasta el momento no se encuentran parches disponibles para corregir esta falla.

Explotando la vulnerabilidad, un ciberdelincuente puede crear, eliminar y modificar los archivos en el servidor. Si utiliza el comando rm puede eliminar un archivo, mientras que con el comando touch, es posible permite cambiar fecha y hora de la última modificación en archivos existentes, pero también permite crear un archivo vacío si este no se encuentra.

Sistemas Afectados:

La versión de Timthumb afectada es la 2.8.13.

Debido a la gran cantidad de complementos y temas que existen para WordPress, muchos de estos utilizan por defecto las librerías de TimThumb. Algunos son:

• TimThumb 02/08/13 WordPress Plugin
• WordThumb 1.07 utiliza también el mismo WebShot vulnerable
• WordPress Gallery Plugin
• IGIT Post Slider widget

Vale la pena mencionar también que los temas de WordPress que provienen de Themify usan Wordthumb vulnerable en la ubicación /Themify/img.php.

Como punto positivo, TimThumb por defecto viene con WebShot desactivado, lo que quiere decir que son vulnerables aquellas instalaciones donde la funcionalidad fue permitida manualmente o de forma automática si el tema instalado configura dicha funcionalidad específicamente.

Referencias:

None

Solución:

La solución para desactivar la funcionalidad afectada es la siguiente:

1. Abrir el archivo del tema o complemento, que normalmente se encuentra en:
   /wp-content/themes//ruta/al/timthumb.php
2. Buscar la línea WEBHOST_ENABLED
3. Una vez encontrada ‘WEBSHOT_ENABLED’, true. Aquí debe definirse como falso para deshabilitarlo, ‘WEBSHOT_ENABLED’,false

Adicionalmente, se ha publicado recientemente una versión de ThinThumb que subsana el problema, se puede encontrar en el siguiente enlace.

Notas: None

CSIRT-CV