TimThumb-Logo Da draußen gibt es etliche WordPress-Themes, kostenlose wie kostenpflichtige, die das PHP-Script TimThumb benutzen. Es handelt sich um eine Anwendung, die Bilder verkleinern, zuschneiden und Vorschaubilder erstellen kann. In diesem Script existiert eine Sicherheitslücke, die es ermöglicht unerwünschten Code einzuschleusen (siehe u.a. Golem.de).

Wer wissen möchte ob bei ihm dieses Script zum Einsatz kommt, der sollte auf dem Server im Themes-Ordner nach der Datei timthumb.php oder thumb.php schauen. Mittlerweile gibt es von dem Script auch eine aktualisierte Version, die diese Lücke geschlossen haben soll.

Auf Timthumb Security Vulnerability – List of Themes gibt es eine Auflistung von freien Themes, wo TimThumb zum Einsatz kommt.

Der Autor erwähnt aber selber, dass die Liste nicht vollständig ist. Daher sollte man vorsichtshalber auf jeden Fall die WordPress-Installation prüfen und gegebenenfalls das eingesetzte Skript aktualisieren.

Diesen Blogartikel teilen:

Verwandte Beiträge:

Divi: Premium-Theme für WordPress
Werbung

Geschrieben von Vladimir

Vladimir Simović, arbeitet seit 2000 mit HTML & CSS und seit Januar 2004 mit WordPress. Im Laufe der Jahre hat er diverse Fachbücher und Fachartikel publiziert.

  1. Hallo,

    du kannst recht leicht sehen, wie er zukünftig die URL prüft

    foreach ($allowedSites as $site) {
    if (preg_match ('/(?:^|\.)' . $site . '$/i', $url_info['host'])) {
    $isAllowedSite = true;
    }
    }

    Gleichzeitig prüft er vorher den Inhalt von scr auf eine gültige URL
    $pattern = "/\b(?:(?:https?):\/\/|www\.)[-a-z0-9+&@#\/%?=~_|!:,.;]*[-a-z0-9+&@#\/%=~_|]/i";
    return preg_match ($pattern, $url);

    Damit ist die Lücke geschlossen.

    Beste Grüße

    Ralf

  2. Gablenberger-Klaus-Blog » Blog Archiv » WordPress – Bei Themes, TimThumb-Sicherheitslücke – Millionen Blogs betroffen Donnerstag, 04. August 2011 am 09:00

    […] hat auch gleich Infos: perun.net/2011/08/04/wordpress-themes-die-von-der-timthumb-sicherheitsluecke-betroffen-sind […]

  3. Der „Lückenfinder“ hat das ganze Skript geforkt und unter neuem Namen „WordThumb“ veröffentlicht: http://code.google.com/p/wordthumb/ (Quelle: WPCandy.com)

    Außerdem gibt es eine interessante Alternative zu beiden: „WPThumb“ – unter: https://github.com/humanmade/wpthumb

    Gruß, David 🙂

  4. suffusion 3.8.2 verwendet kein timthumb.php, auch wenn es in der im Artikel erwähnten Liste so drin steht. Habe eben nachgeschaut und der Autor des Themes hat es bestätigt. Danke für den Hinweis.

  5. […] Themes die von der TimThumb-Sicherheitslücke betroffen sind […]

  6. Es gibt ein gutes Plugin das in allen Themes Ordnern nach dem timthumb Script sucht und dieses updated.

    Infos und Anleitung zum schliessen der timthumb.php Sicherheitslücke.

    Viele Grüße,

  7. […] die kritische Sicherheitslücke im TimThimb habe ich im August 2011 berichtet. Bei TimThumb handelt es sich um eine Anwendung, die Bilder verkleinern, zuschneiden und […]

  8. […] ist mehr als acht Monate her, wie die ersten Meldungen zu der ausgenutzten Sicherheitslücke im TimThumb-Script veröffentlicht […]

Kommentare sind geschlossen.