TimThumb: uma ameaça real ao seu projeto será eliminada dos nossos servidores

Em meados do segundo semestre de 2011 uma vulnerabilidade foi encontrada em templates para WordPress que utilizam o script TimThumb.php para gerar imagens em miniatura (e outras funções) para os posts. Já em Outubro a Porto Fácil, empresa que é nossa co-irmã anunciou que iria banir o uso desse script por motivos de segurança, muitos casos vinham ocorrendo com os clientes de VPS e servidores dedicados.

A falha permite que um invasor envie um arquivo executável para o servidor e com isso ganhe o controle da máquina. Kits de exploração da falha incluem a instalação automática de backdoors no servidor, a fim de rodar servidores de jogos, de IRC ou outros, de maneira não autorizada, bem como facultar posterior acesso facilitado ao invasor. Leia mais sobre o banimento do script e também entenda como ele funciona.

Confesso que relutei bastante pra fazer o mesmo aqui na Via, tentando fazer um trabalho “formiguinha” explicando o caso, enviando e-mails individuais, alertas, fazendo posts e tentando convencer os clientes que usam o CMS WordPress a trocarem seus templates ou adaptarem pra outra ferramenta, se fosse o caso. Mas a cada dia que passa a vulnerabilidade faz mais vítimas, engorda a estatísticas de clientes que estão tendo sérios problemas em seus blogs (desde uma desqualificação com o Google até perda de dados) e está comprometendo seriamente a credibilidade dos nossos endereços IP na rede.

Particularmente odeio a palavra “proibir”, mas quando você tem a visão sistêmica da coisa, conhece todos os processos e sabe quando os riscos são grandes demais para serem corridos, você invariavelmente vai precisar aplicá-la em algum momento.

Assim sendo, informo que a partir de hoje teremos ferramentas em nossos servidores que localizarão, anularão a ação do script e em um futuro próximo removerão os arquivos denominados timthumb.php das contas de hospedagem. Resumindo, o uso de timthumb.php está proibido na Via Hospedagem.

Se você foi infectado por esta vulnerabilidade ou tiver qualquer dúvida sobre esta medida, estamos a disposição para qualquer dúvida através do nosso suporte!