WordPress: Themes die von der TimThumb-Sicherheitslücke betroffen sind | perun.net

WordPress: Themes die von der TimThumb-Sicherheitslücke betroffen sind

Von am 04. 08. 2011 um 01:14 – Aktualisiert am 09.08.2011 um 15:40

TimThumb-Logo Da draußen gibt es etliche WordPress-Themes, kostenlose wie kostenpflichtige, die das PHP-Script TimThumb benutzen. Es handelt sich um eine Anwendung, die Bilder verkleinern, zuschneiden und Vorschaubilder erstellen kann. In diesem Script existiert eine Sicherheitslücke, die es ermöglicht unerwünschten Code einzuschleusen (siehe u.a. Golem.de).

Wer wissen möchte ob bei ihm dieses Script zum Einsatz kommt, der sollte auf dem Server im Themes-Ordner nach der Datei timthumb.php oder thumb.php schauen. Mittlerweile gibt es von dem Script auch eine aktualisierte Version, die diese Lücke geschlossen haben soll.

Auf Timthumb Security Vulnerability – List of Themes gibt es eine Auflistung von freien Themes, wo TimThumb zum Einsatz kommt.

Der Autor erwähnt aber selber, dass die Liste nicht vollständig ist. Daher sollte man vorsichtshalber auf jeden Fall die WordPress-Installation prüfen und gegebenenfalls das eingesetzte Skript aktualisieren.

Diesen Artikel weiterempfehlen oder später lesen:

auf Kindle (später) lesen

Premium WordPress Themes

Verwandte Artikel:

Kategorien:
WordPress
Tags:
 
Beitrag:
Druckvorschau
Kommentare:
Kommentare verfolgen oder Kommentar abgeben

 — 

9 Kommentare

  1. 1. – Ralf Dreiundzwanzig

    Kommentar vom 04.08.2011 um 08:02

    Hallo,

    du kannst recht leicht sehen, wie er zukünftig die URL prüft

    foreach ($allowedSites as $site) {
    if (preg_match ('/(?:^|\.)' . $site . '$/i', $url_info['host'])) {
    $isAllowedSite = true;
    }
    }

    Gleichzeitig prüft er vorher den Inhalt von scr auf eine gültige URL
    $pattern = "/\b(?:(?:https?):\/\/|www\.)[-a-z0-9+&@#\/%?=~_|!:,.;]*[-a-z0-9+&@#\/%=~_|]/i";
    return preg_match ($pattern, $url);

    Damit ist die Lücke geschlossen.

    Beste Grüße

    Ralf

  2. 2. – Gablenberger-Klaus-Blog » Blog Archiv » WordPress – Bei Themes, TimThumb-Sicherheitslücke – Millionen Blogs betroffen

    Pingback vom 04.08.2011 um 09:00

    [...] hat auch gleich Infos: perun.net/2011/08/04/wordpress-themes-die-von-der-timthumb-sicherheitsluecke-betroffen-sind [...]

  3. 3. – David Decker

    Kommentar vom 05.08.2011 um 14:21

    Der "Lückenfinder" hat das ganze Skript geforkt und unter neuem Namen "WordThumb" veröffentlicht: http://code.google.com/p/wordthumb/ (Quelle: WPCandy.com)

    Außerdem gibt es eine interessante Alternative zu beiden: "WPThumb" – unter: https://github.com/humanmade/wpthumb

    Gruß, David :)

  4. 4. – vanvox

    Kommentar vom 07.08.2011 um 22:43

    suffusion 3.8.2 verwendet kein timthumb.php, auch wenn es in der im Artikel erwähnten Liste so drin steht. Habe eben nachgeschaut und der Autor des Themes hat es bestätigt. Danke für den Hinweis.

  5. 5. – WordPress-Newsletter Nr. 17 | WordPress & Webwork

    Pingback vom 09.08.2011 um 15:49

    [...] Themes die von der TimThumb-Sicherheitslücke betroffen sind [...]

  6. 6. – Sicherheitslücke auch in Ihrem WordPress-Blog? | Das INCONET Tagebuch

    Pingback vom 12.08.2011 um 10:07

    [...] perun Kategorie: Sicherheit Kurzbegriffe: [...]

  7. 7. – Kai

    Kommentar vom 04.11.2011 um 13:45

    Es gibt ein gutes Plugin das in allen Themes Ordnern nach dem timthumb Script sucht und dieses updated.

    Infos und Anleitung zum schliessen der timthumb.php Sicherheitslücke.

    Viele Grüße,

  8. 8. – WordPress: alte TimThumb-Version mit kritischer Sicherheitslücke in vielen Instalationen aktiv | WordPress & Webwork

    Pingback vom 04.11.2011 um 14:05

    [...] die kritische Sicherheitslücke im TimThimb habe ich im August 2011 berichtet. Bei TimThumb handelt es sich um eine Anwendung, die Bilder verkleinern, zuschneiden und [...]

  9. 9. – WordPress: TimThumb-Sicherheitslücke immer noch im Umlauf | WordPress & Webwork

    Pingback vom 14.04.2012 um 18:33

    [...] ist mehr als acht Monate her, wie die ersten Meldungen zu der ausgenutzten Sicherheitslücke im TimThumb-Script veröffentlicht [...]

Hinweis:
300+ Professionelle WordPress-Themes
Premium WordPress-Themes, 38 davon mit deutschem Support

Tut mir Leid, aber die Kommentar-Funktion ist momentan deaktiviert.

Weblog der perun.net webwork gmbh mit Artikeln zum Thema WordPress, Webwork, und Internet.