375.000 WordPress en riesgo por un exploit de Command Injection para el plugin TimThumb

Se ha publicado un 0day para un plugin muy popular de WordPress que permite la inyección de comandos en el sistema operativo. El plugin, TimThumb, permite hacer redimensión de imágenes en el popular framework, y a día de hoy, buscando el fichero PHP del plugin, pueden verse 375.000 referencias en Internet.

Figura 1: Número de sitios con el plugin TimThumb instalado

La ejecución de la inyección de comandos es muy sencilla, y ya se está explotando de forma activa, así que si tienes un WordPress con este plugin debes actualizarlo inmediatamente para no tener problemas. La explotación es bastante sencilla.

Figura 2: El exploit de Command Injection del plugin vulnerable

Por ejemplo, para poder borrar un fichero del servidor, por ejemplo un .htaccess si hubieran los permisos adecuados se puede hacer de la siguiente forma:

http://WordpressVulnerable.com/wp-content/plugins/pluginX/timthumb.php?webshot=1&src=http://WordpressVulnerable.com/$(rm$IFS/dir/.htaccess)

Y para crear un archivo, sería de la siguiente forma:

http://WordpressVulnerable.com/wp-content/plugins/pluginX/timthumb.php??webshot=1&src=http://WordpressVulnerable.com/$(touch$IFS/dir/file.php)

Con esta vulnerabilidad, descrita en este advisory, se pueden crear Web Shells en los servidores no actualizados, y por supuesto el mundo del fraude online o los amigos del Black SEO lo utilizarán inmediatamente, así que actualiza cuanto antes tu sitio y toma todas las medidas que puedas para fortificar tu WordPress.

Saludos Malignos!