WordPress : Faille Timthumb.php

de | 5 août 2011

Timthumb.php est un script php très pratique qui permet de redimensionner automatiquement les images affichées sur un blog WordPress.

Les auteurs du script viennent de révéler que ce dernier contenait une faille qui permettait à une personne tierce d’exécuter du code php sur le serveur du blog. On imagine aisément les conséquences d’un tel acte.

pirate

Quelle est la faille ?

Celle ci serait une faille « zero-day », à savoir une faille non corrigée (une nouvelle en gros).

Il semblerait que cette faille concerne le répertoire cache utilisé par le script, et le filtre des sites de confiance pour télécharger les images. Pour résumer, le filtre n’est que partiel, ce qui fait qu’un utilisateur mal intentionné peut uploader un script php et l’exécuter dans le répertoire de cache.

Votre blog WordPress est il concerné par cette faille ?

La plupart des thèmes utilisent Timthumb.php, vous pouvez vérifier facilement si c’est le cas pour votre blog. Il suffit de rechercher le fichier sur votre serveur via la commande :

find . -name ‘timthumb.php’

Si vous obtenez  un résultat positif, ouvrez votre fichier, toutes les versions de  timthumb.php ne sont pas concernées. Pour vérifier si votre version contient la faille, il suffit de chercher la variable $allowedSites.

Elle devrait ressembler à ça :

$allowedSites = array (
'flickr.com',
'picasa.com',
'blogger.com',
'wordpress.com',
'img.youtube.com',
'upload.wikimedia.org',
);

Vous avez maintenant deux solutions :

– Changer la variable en $allowedSites = array (); (Attention il y a un risque que certaines de vos images ne soient plus redimensionnées après cette modification).

– Télecharger la nouvelle version de Timthumb.php (méthode la plus propre, mais comme d’habitude faites bien une sauvegarde avant)

Quid de la sécurité des modules/plugins/scripts… ?

Il faut avoir conscience que même les scripts les plus utilisés ont des failles. Bien évidemment vu la quantité phénoménales de modules/plugins/bibliothèques… qui existent sur les CMS tels que WordPress, Joomla… chaque ajout d’un élément tiers pour contenir une faille de sécurité.

Si vous tenez à la  sécurité de votre site (parce qu’il contient un des données privées par exemple), faites appel à des professionnels.

10 réflexions au sujet de « WordPress : Faille Timthumb.php »

  1. Ping : Attention ! Faille de sécurité via timthumb.php sur les blogs Wordpress | Socializ - Blog sur le Community Management, Stratégie réseaux sociaux et Marketing Alternatif - Dijon

  2. Heaven

    Bonjour,
    Merci pour votre article.
    Il se trouve que j’étais dans le cas…
    Problème corrigé 🙂

  3. Ping : un virus pour wordpress « 3615GEEK

  4. Steven

    Merci pour cette explication claire et efficace ^^

  5. eBuildy

    « C’est le prix à payer pour avoir du gratuit ! »

    Le lowcost à un prix ! C’est la dernière fois que je prendrais un thème gratuit 😉 Il faudrait que les hébergeurs (OVH..) soient au courant de ce genre de failles, ça m’a pris la journée pour trouver ça dans mes logs ;-(

  6. DirectOsteo

    Voici la faille qui m’a fait le plus mal depuis 2 bonnes années. Je me suis fait avoir à deux reprises sur deux blogs différents (1 semaine d’intervalle), et ca a foutu en l’air tout ce que j’avais (suppression des sites et de mon espace perso chez mon herbergeur). Désormais, je suis de près toutes les possibilités d’attaque pour éviter de me faire avoir… Et effectivement, cela partait d’un thème gratuit !

  7. Ping : Une Faille importante dans wordpress « Se Former pour Réussir

  8. lije-creative

    […] Socializ et vous invite à surveiller vos blogs’ et No Panique ‘ un début de réponse ici ! Le hasard fait bien les chosesDijon dans le Top10 des villes les plus représentées sur […]

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.