Scans, die auf E-Mail-Skripte abzielen, sind kürzlich auf SANS-Honeypots aufgetaucht, wie Johannes B. Ullrich, Forschungsdekan bei SANS.edu, berichtet. Die Anfragen umfassen Pfade wie /sendmail.php, /test-mail.php, /email-test.php und /mailtest.php. Ullrich zufolge könnte die Aktivität von Spammern ausgehen, die nach Webformularen suchen, über die sie den Empfänger einer Nachricht auswählen können. Die Scans lassen sich jedoch keiner bestimmten Sicherheitslücke zuordnen.
Die Aktivität erinnert an frühe Sicherheitslücken in Webanwendungen wie CVE-2000-0411, von der ein CGI-Skript zum Versenden von E-Mails betroffen war. In diesem Fall konnten durch das Hinzufügen von Parametern zu einer URL Umgebungsvariablen offengelegt werden. Bei anderen Sicherheitslücken konnten Benutzer die Empfängeradresse festlegen, während die direkte Übergabe von Parametern an das Sendmail-Binärprogramm in manchen Fällen die Ausführung beliebigen Codes ermöglichen konnte.
Ullrich merkte an, dass mehrere der gescannten Dateinamen das Wort „test“ enthalten, was darauf hindeutet, dass Angreifer möglicherweise nach Skripten suchen, die während der Entwicklung zurückgelassen wurden. Außerdem beschrieb er ein Beispiel für ein E-Mail-Testskript, das er über eine Google-Suche gefunden hatte. Es akzeptierte eine Empfängeradresse als URL-Parameter und fügte Konfigurationsdetails des Servers in die Nachricht ein. Damit war es für den Einsatz auf einer aktiven Website ungeeignet.
Das grundlegendere Problem sei laut Ullrich die Codepflege: Entwicklungsartefakte sollten nicht auf produktiven Websites zurückbleiben. Er empfahl, die eigenen Systeme auf solche Dateien zu überprüfen, betonte jedoch, dass diese Probleme am besten bei der Bereitstellung einer Anwendung erkannt werden.
Quellen: SANS Internet Storm Center.