Abo
  • Services:

Wordpress

Sicherheitslücke in Timthumb macht Blogseiten angreifbar

Eine Sicherheitslücke in dem Dienstprogramm Timthumb für Wordpress kann genutzt werden, um Wordpress-Blogs zu manipulieren. Der Entdecker der Sicherheitslücke stellt ein Patch zur Verfügung, der Entwickler will den Fehler korrigieren.

Artikel veröffentlicht am ,
Hacker erhalten über Timthumb Zugriff auf einen Worpress-Server
Hacker erhalten über Timthumb Zugriff auf einen Worpress-Server (Bild: Mark Maunder)

Das Dienstprogramm Timthumb kann genutzt werden, um Wordpress-Seiten zu manipulieren. Angreifer können sich Zutritt zur Dateistruktur der Blogsoftware verschaffen, indem sie über die Datei timthumb.php unerwünschten Code einschleusen. Timthumb wird von zahlreichen Themes genutzt, um Bilder zu skalieren und benötigt deshalb Schreibrechte für das Wordpress-Verzeichnis.

Stellenmarkt
  1. ITC Consult GmbH, Wiesbaden
  2. Dataport, Verschiedene Standorte

Der Entdecker der Sicherheitslücke Mark Maunder wurde von dem Hacker mit den Worten "Congratulations, you're a winner" in seinem eigenen Blog begrüßt. Er bemerkte, dass seine Webseite Banner-Werbung schaltete, obwohl er dies selbst nicht veranlasst hatte.

Um die Sicherheitslücke zu schließen, rät Maunder, timthumb.php zu löschen und sämtliche Themes daraufhin zu prüfen, ob sie von dem Fehlen von Timthumb betroffen sind. Außerdem sollten Anwender nochmals überprüfen, ob die Dateirechte in der Ordnerstruktur von Wordpress korrekt vergeben sind.

Wer Timthumb nicht deaktivieren will, kann in der Datei timthumb.php alle Einträge in dem Array $allowedsites löschen. Denn laut Maunder liegt der Fehler in der Abfrage der dort eingetragenen Domänen, die lediglich per unvollständiger String-Abfrage abgeglichen werden. Dass diese Lösung reicht, kann Maunder allerdings nicht garantieren.

Ben Gillbanks, der Entwickler, arbeitet an einer Korrektur seiner Software. Er hatte sich unter dem Posting von Maunder bereits für die Fehler entschuldigt.



Anzeige
Blu-ray-Angebote
  1. 5€ inkl. FSK-18-Versand
  2. 5€ inkl. FSK-18-Versand
  3. (u. a. 3 Blu-rays für 15€, 2 Neuheiten für 15€)

Folgen Sie uns
       


MTG Arena Ravnica Allegiance - Livestream 1

Im ersten Teil unseres Livestreams erklären wir alle neuen Mechaniken von Ravnica Allegiance.

MTG Arena Ravnica Allegiance - Livestream 1 Video aufrufen
Alienware m15 vs Asus ROG Zephyrus M: Gut gekühlt ist halb gewonnen
Alienware m15 vs Asus ROG Zephyrus M
Gut gekühlt ist halb gewonnen

Wer auf LAN-Partys geht, möchte nicht immer einen Tower schleppen. Ein Gaming-Notebook wie das Alienware m15 und das Asus ROG Zephyrus M tut es auch, oder? Golem.de hat beide ähnlich ausgestatteten Notebooks gegeneinander antreten lassen und festgestellt: Die Kühlung macht den Unterschied.
Ein Test von Oliver Nickel

  1. Alienware m17 Dell packt RTX-Grafikeinheit in sein 17-Zoll-Gaming-Notebook
  2. Interview Alienware "Keiner baut dir einen besseren Gaming-PC als du selbst!"
  3. Dell Alienware M15 wird schlanker und läuft 17 Stunden

Elektromobilität: Der Umweltbonus ist gescheitert
Elektromobilität
Der Umweltbonus ist gescheitert

Trotz eines spürbaren Anstiegs zum Jahresbeginn kann man den Umweltbonus als gescheitert bezeichnen. Bislang wurden weniger als 100.000 Elektroautos gefördert. Wenn der Bonus Ende Juni ausläuft, sind noch immer einige Millionen Euro vorhanden. Die Fraktion der Grünen will stattdessen Anreize über die Kfz-Steuer schaffen.
Eine Analyse von Dirk Kunde

  1. Elektromobilität Nikola Motors kündigt E-Lkw ohne Brennstoffzelle an
  2. SPNV Ceské dráhy will akkubetriebene Elektrotriebzüge testen
  3. Volkswagen Electrify America nutzt Tesla-Powerpacks zur Deckung von Spitzen

Chromebook Spin 13 im Alltagstest: Tolles Notebook mit Software-Bremse
Chromebook Spin 13 im Alltagstest
Tolles Notebook mit Software-Bremse

Bei Chromebooks denken viele an billige, knarzende Laptops - das Spin 13 von Acer ist anders. Wir haben es einen Monat lang verwendet - und uns am Ende gefragt, ob der veranschlagte Preis für ein Notebook mit Chrome OS wirklich gerechtfertigt ist.
Ein Test von Tobias Költzsch


      •  /