WordPress : Faille Timthumb.php

Timthumb.php est un script php très pratique qui permet de redimensionner automatiquement les images affichées sur un blog WordPress.

Les auteurs du script viennent de révéler que ce dernier contenait une faille qui permettait à une personne tierce d’exécuter du code php sur le serveur du blog. On imagine aisément les conséquences d’un tel acte.

Quelle est la faille ?

Celle ci serait une faille « zero-day », à savoir une faille non corrigée (une nouvelle en gros).

Il semblerait que cette faille concerne le répertoire cache utilisé par le script, et le filtre des sites de confiance pour télécharger les images. Pour résumer, le filtre n’est que partiel, ce qui fait qu’un utilisateur mal intentionné peut uploader un script php et l’exécuter dans le répertoire de cache.

Votre blog WordPress est il concerné par cette faille ?

La plupart des thèmes utilisent Timthumb.php, vous pouvez vérifier facilement si c’est le cas pour votre blog. Il suffit de rechercher le fichier sur votre serveur via la commande :

find . -name ‘timthumb.php’

Si vous obtenez  un résultat positif, ouvrez votre fichier, toutes les versions de  timthumb.php ne sont pas concernées. Pour vérifier si votre version contient la faille, il suffit de chercher la variable $allowedSites.

Elle devrait ressembler à ça :

$allowedSites = array (
'flickr.com',
'picasa.com',
'blogger.com',
'wordpress.com',
'img.youtube.com',
'upload.wikimedia.org',
);

Vous avez maintenant deux solutions :

– Changer la variable en $allowedSites = array (); (Attention il y a un risque que certaines de vos images ne soient plus redimensionnées après cette modification).

– Télecharger la nouvelle version de Timthumb.php (méthode la plus propre, mais comme d’habitude faites bien une sauvegarde avant)

Quid de la sécurité des modules/plugins/scripts… ?

Il faut avoir conscience que même les scripts les plus utilisés ont des failles. Bien évidemment vu la quantité phénoménales de modules/plugins/bibliothèques… qui existent sur les CMS tels que WordPress, Joomla… chaque ajout d’un élément tiers pour contenir une faille de sécurité.

Si vous tenez à la  sécurité de votre site (parce qu’il contient un des données privées par exemple), faites appel à des professionnels.