Une faille zero-day détectée dans un script populaire de Wordpress

01 juin 2018 à 15h36
0
00FA000003789728-photo-wordpress-logo-sq-gb.jpg
TimThumb, un script très prisé de la communauté Wordpress, contient une faille de sécurité qui permet à un hacker d'executer du code sur un blog qui l'utilise. La popularité du plug(in rend des milliers de pages vulnérables à une attaque.

TimThumb est utilisé dans un grand nombre de thèmes Wordpress principalement destinés à proposer un affichage de type magazine, de plus en plus courant dans l'univers des blogs. Il permet de redimensionner les images affichées sur le site, de sorte à les adapter à différents modes d'affichage sans en altérer la qualité : une fonction appréciée par des millions d'utilisateurs. Une rapide cherche Google avec le terme « timthumb.php », qui est le nom de la page utilisant le script, renvoie à près de 40 millions de résultats. D'autres blogs utilisent également le script via une page nommée Thumb.php, qui renvoie quant à elle à 61 millions de résultats.

Le problème découle d'une mauvaise gestion des droits d'écriture dans les dossiers utilisés par le script pour stocker les images redimensionnées. TimThumb utilise un dossier de cache ouvert à tous les vents, à l'intérieur duquel les hackers peuvent stocker du code malicieux.

Après avoir mis le doigt sur la faille, le PDG de Feedjit, Mark Maunder, a publié une version corrigée, nommée WordThumb. Mais la route devrait être longue avant que la faille soit corrigée partout : un bon nombre d'utilisateurs exploitant un thème Wordpress gratuit ou payant incluant TimThumb n'est probablement pas au courant du problème. L'information est donc à faire circuler pour limiter les dégâts...
Soyez toujours courtois dans vos commentaires.
Respectez le réglement de la communauté.
0
0

Actualités du moment

Android serait la plateforme open source la moins ouverte
Des supermarchés virtuels dans les stations de métro
Wikipedia toujours en perte de contributeurs
La championne du monde d'Excel est une Anglaise de 15 ans
Stockage : Fusion-Io va racheter IO Turbine
Dell et Cloudera annoncent une solution Hadoop
Un tiers des internautes a désormais plus de 50 ans
Peu convaincu par GNOME 3, Linus Torvalds choisit Xfce
SAP à l'assaut de la Chine et de l'Inde
Des joueurs sud-coréens piratés par des hackers nord-coréens
Haut de page