O TimThumb novamente. Tinha que ser o Chaves do 8...

[eulergui]

Pessoal, saiu um 0-day para o timthumb.php que, novamente, é bastante perigoso.

 

Dêem uma olhada em:

http://www.exploit-db.com/exploits/33851/

 

Pra quem não conhece, o timthumb.php é um script utilizado por MUITOS designers em temas para Wordpress (e alguns Joolma). Trata-se de uma biblioteca para gerar uma miniatura da imagem "on-the-fly". Da outra vez que descobriram uma falha desse nível no próprio timthumb, vi algumas empresas de hospedagem sendo fechadas porque tiveram tudo apagado por algum cidadão mal intencionado.

 

Fiquem de olho e, caso encontrem esse script no servidor, removam o mais rápido possível. É sério.

[chuvadenovembro]

Obrigado pela dica Guilherme.

 

:)

[eulergui]

A propósito, tem como fazer algum tipo de bloqueio pra que o servidor não rode nenhum script chamado "timthumb.php" ou "thumb.php"? Eu fiz a varredura manual aqui e felizmente nenhum cliente meu usa essa praga... mas vai que algum resolve utilizar ou chega cliente novo com esse script no site...

[Alexandre Duran]

Use o CAGEFS do CloudLinux e seja feliz.

[eulergui]

Cara, o CageFS segura mesmo? Eu já utilizo ele mas desde que utilizo, nunca passei por nenhuma invasão... não pude ainda "testar" uhauhahauauhhua

[redirect]

não poderia ser criada uma regra no modsecurity?

[Fernando Rafs]

não poderia ser criada uma regra no modsecurity?

 

Segue uma regra que utilizo, caso deseje efetuar testes ou adaptações:

 

Antes verifique se já não possui uma regra com ID '400000', que é o número da regra abaixo.

# Rule 400000 - Timthumb vulnerability
SecRule REQUEST_URI "(?:timthumb|thumb|resize|thumbnail|crop)\.php" "deny,id:400000,log,auditlog,phase:2,status:412,chain,msg:'Thimthumb Vulnerability',severity:ALERT"
SecRule ARGS:src "(?:flickr\.com|picasa\.com|blogger\.com|wordpress\.com|youtube\.com|wikimedia\.org|photobucket\.com)"

[Eder Ribeiro]

Reparem que a vulnerabilidade só tem função caso a opção webshot esteja em true, por padrão é false em todas as versões.

 

Portanto não é tão grave assim como foi há uns dois anos.

[eulergui]

Realmente, @Eder agora que vi que a vulnerabilidade só existe se o webshot estiver ativado... valeu pela correção! :D

[Alexandre Duran]

Cara, o CageFS segura mesmo? Eu já utilizo ele mas desde que utilizo, nunca passei por nenhuma invasão... não pude ainda "testar" uhauhahauauhhua

 

Não impede da aplicação do usuário ser hackeada, mas impede do servidor inteiro ser hackeado a partir da mesma.