Timthumb PHP skript může být zneužit k útoku

Timthumb PHP skript, který je používán mnoha tématy WordPressu k změnám velikosti obrázků, může být zneužit k načtení a spuštění podvrhnutého kódu na server. Timthumb obsahuje seznam domén, ze kterých vzdáleně načítá a upravuje obrázky. Při načítání obrázku ale nekontroluje celou URL, ale pouze to, zda obsahuje jméno některé z povolených domén. Tedy v případě, že povolenou doménou je blogger.com, bez problému je akceptována i http://blogger.com.evilhackersite.com/ či kterákoli jiná podvrhnutá URL.

3.8.2011 19:55 | Migi | Bezpečnostní upozornění

Komentáře

[Migi]

veselá chybička v nadpisu, autor by se měl stydět

[David Watzke]

Opravil jsem to. Btw, měl jsem za to, že jsi taky správce zpráviček.

[D'']

sed s/".com"/".com/"/g zoznam_povolenych_url ?

[zulu]

ne

[M___]

http://evilhackersite.com/blogger.com/...

[kdosi]

$allowedSites = array (
	'flickr.com',
	'picasa.com',
	'blogger.com',
	'wordpress.com',
	'img.youtube.com',
	'upload.wikimedia.org',
	'photobucket.com',
);

$url = ...
$host = parse_url($url,PHP_URL_HOST);

$ok = false;
foreach($allowedSites as $site){
  if(ereg($site.'$', $host)){
    $ok = true;
    break;
  }
}

if($ok){
  ...
}

[kdosi]

A oprava opravy, radek 16 by mel byt:

if(ereg('^(.*\.)?'.$site.'$', $host)){

[Josef Kufner]

Takže pokud dáme do whitelistu doménu upload.wikimedia.org, tak si stačí podvrhnout doménu upload-wikimedia.org a máme hotovo?

[kdosi]

Presne tak :)

tedy pred ifem jeste

$site = strtr($site,array('.'=>'\.'));

ted uz by to na domenu a subdomeny pasovat mohlo ?

[Josef Kufner]

if ($allowed == parse_url($url, PHP_URL_HOST)) { ... }