TimThumb

Mark Maunder, amministratore delegato di Feedjit, ha scoperto il problema quando il suo blog ha cominciato a caricare contenuti pubblicitari che originariamente non erano stati da egli stesso inseriti. Proprio sul blog ha parlato dal problema, spiegando che è correlato alla libreria timthumb.php, utilizzata dal tema che egli ha acquistato per il suo spazio web. «Dal momento che sono appena stato attaccato attraverso essa, immagino sia giusto parlare della vulnerabilità al grande pubblico», ha scritto Maunder.

TimThumb.php, continua, è “intrinsecamente insicuro” perché scrive i file in una directory quando si carica l’immagine e la si ridimensiona. Tuttavia, questa directory è accessibile alle persone che visitano il sito, diventando quindi fonte di attacchi per i pirati informatici. Un utente malintenzionato può anche compromettere il sito agendo direttamente dalla directory, “riempendola” di file infetti.

Non solo (aggiungiamo noi), il problema infatti non si limita solo a caricare file infetti ma anche file php maliziosi come le famose phpshell,  e nel caso in cui non fosse stato fatto hardening a livello di configurazione PHP (separazione privilegi con su_php o php-fpm, o la disabilitazione di funzioni pericolose come l’allow_url_fopen,system,exec,ecc…) può compromettere seriamente la sicurezza dell’intero server Web oltre che del vhost specifico.

Il tipo di attacco è quello comunemente definito RFI (Remote File Inclusion), http://it.wikipedia.org/wiki/Remote_File_Inclusion

Maunder ha dunque spiegato che al momento conviene disabilitare TimThumb o, al limite, limitarne l’accesso.

Per quanto il discorso di Maunder possa essere corretto e sensato, esso tende a creare dei fraintendimenti ad utenti WordPress e webmaster non troppo esperti.

Va ricordato infatti che timthumb non è un plugin di WordPress ma bensì un file php “sfuso” inserito come parte funzionale di molti template WordPress (ma non solo wordpress).

Risulta dunque impossibile disabilitare questo plugin da pannello di controllo come si farebbe normalmente nell’attivazione e disattivazione di plugin wordpress e sopratutto non bisogna illudersi che basti aggiornare la versione di WordPress attuale all’ultima stabile per risolvere questo problema.

Bisogna (purtroppo) fare un’attività di ricerca manuale nelle cartelle del proprio template, individuare il file timthumb.php (se presente) e sostituirlo con la nuova versione che potete scaricare qui http://code.google.com/p/timthumb/
Uomo avvisato …

Il programma della giornata è molto articolato ed attuale : si parlerà infatti di concetti nuovi e moderni come la Virtualizzazione, Cloud computing, Wi-fi, e concetti più generici come il penetration testing, e il lockpicking; ovvero l’arte di scassinare serrature.

L’evento a cui abbiamo partecipato attivamente nelle scorse edizioni con talk sulla Web security in particolar modo focalizzando sul RFI (Remote File Include) e SQL Injection, quest’anno ci vedrà come “supporter” esterni non partecipando direttamente con nostri talk all’evento ma supportando l’evento a livello informativo e “logistico”.

Ricordiamo che la partecipazione all’evento è del tutto gratuita ed è senz’altro un’occasione importante per tutti gli appassionati (professionisti, docenti e semplici smanettoni) di rimanere aggiornati su un tema così vasto dalle mille sfaccettature e tremendamente moderno.

Per ulteriori informazioni www.securitydate.org e www.camelug.it

Sono queste le povere ma eloquenti parole ricevute in prima mattinata da un nostro cliente.
Domandando nello specifico di quale computer stesse parlando, ci viene poi risposto che il guasto riguardava il server dove veniva gestita e archiviata la contabilità.

Ad un tratto capiì e ricordai che circa un mese prima avevo chiaramente avvertito i titolari di questa media azienda sull’incoscienza e ottimismo immotivato di tenere un gestionale con oltre 7 anni di contabilità fiscale e logistica su un “server” che non aveva nemmeno un RAID1 e nessun sistema di backup ne tantomeno procedure di disaster recovery.

Rendere atto nero su bianco dell’incompetenza del loro precedente fornitore e della pericolosità di non utilizzare opportune procedure di disaster recovery evidentemente non è bastato per accettare il nostro modesto preventivo per l’aggiunta di un disco in RAID1 (mirroring) e un disco esterno (o interno hot swap con slitta estraibile) da utilizzare come destinazione per i backup incrementali generati tramite il software Acronis True Image.

Un prezzo molto modesto da pagare confrontato al beneficio che un sistema funzionale di disaster recovery possa portare ad un’azienda quando un disco si rompe.

Ogni alternativa sarebbe stata comunque più dispendiosa in termini di costi, tempo e sicurezza dei dati.

Mandiamo a recuperare tutto in un centro specializzato di recupero dati ?

Costo dell’operazione non minore di 1000 euro e senza nessun risultato garantito.
Tempo di intervento e riconsegna non minore ad una settimana.
E in quel periodo come vive l’azienda ?

E’ valsa davvero la pena risparmiare 250 euro per ritrovarsi in situazioni folli e difficoltose come questa ?

Diffondere l’idea che la tecnologia è soggetta a guasti e che un investimento di 250 euro può salvarvi davvero la vita in casi estremi come questo, non è terrorismo ma realismo allo stato puro.

Se non avete nessuna procedura di backup dei vostri dati, non pensateci troppo contattateci.

Domani potrebbe essere troppo tardi.