Una vulnerabilidad día cero de ejecución de código remoto (RCE por sus siglas en inglés) ha sido descubierta en la función "WebShot" de TimThumb, una utilidad para cambiar el tamaño de una imagen comúnmente utilizada en la plataforma de blogs de WordPress, de acuerdo con la empresa de seguridad Sucuri.

TimThumb es un script en PHP muy simple y flexible utilizado para redimensionar imágenes, dijo el jueves a SCMagazine Daniel Cid, Director de Tecnología de Sucuri, en una conversación por correo electrónico. En la entrevista dijo que observó unos cientos de miles de sitios web utilizándola en 2011, cuando una vulnerabilidad independiente fue descubierta.

"Debido a que [TimThumb] es tan simple y fácil de usar, es ampliamente utilizado por los propietarios de sitios web, especialmente en temas de WordPress y plugins", dijo Cid. "WebShot es una característica oculta en TimThumb que permite tomar capturas de pantalla de los sitios web, en lugar de cambiar el tamaño de las imágenes".

Explotar la falla podría permitir a un atacante ejecutar una variedad de comandos en un sitio web vulnerable, sin autenticación, dijo Cid, explicando que el atacante podría inyectar spam o malware, modificar el contenido del sitio web (defacement) o simplemente tirar el sitio.

"Un atacante puede aprovechar esta vulnerabilidad directamene desde el navegador", dijo Cid, indicando que se puede obtener información más técnica en la publicación. "Es muy fácil de desencadenar y todo lo que se necesita es pasar un comando de shell (linux) en lugar de la URL para tomar WebShot".

Mitigar la vulnerabilidad es tan simple como desactivar la función WebShot, dijo Cid, quien agregó que, si bien viene desactivada por defecto, algunos temas y plugins pueden activarla de forma automática.

Cid también sugirió la adición de una simple línea en la parte superior del archivo TimThumb: define ('WEBSHOT_ENABLED', false);  para una mayor protección contra la falla.

En 2011, un defecto que afectó TimThumb estaba siendo explotado por atacantes para subir archivos y ejecutar código en sitios web vulnerables, también sin autenticación. Desactivar la capacidad de la herramienta para cargar imágenes desde sitios externos fue una manera de resolver el problema.