Recientemente han aparecido en los honeypots de SANS escaneos dirigidos a scripts de correo electrónico, según Johannes B. Ullrich, decano de Investigación de SANS.edu. Las solicitudes incluyen rutas como /sendmail.php, /test-mail.php, /email-test.php y /mailtest.php. Ullrich dijo que la actividad podría provenir de spammers que buscan formularios web que les permitan elegir el destinatario de un mensaje, aunque los escaneos no pueden vincularse con una vulnerabilidad específica.
La actividad recuerda las primeras fallas de las aplicaciones web, como CVE-2000-0411, que afectaba a un script CGI utilizado para enviar correo electrónico. En ese caso, agregar parámetros a una URL podía exponer variables de entorno. Otras vulnerabilidades permitían a los usuarios establecer la dirección del destinatario, mientras que pasar parámetros directamente al binario sendmail podía, en algunos casos, permitir la ejecución de código arbitrario.
Ullrich señaló que varios de los nombres de archivo escaneados contienen la palabra «test», lo que sugiere que los atacantes podrían estar buscando scripts que quedaron atrás durante el desarrollo. También describió un script de prueba de correo encontrado mediante una búsqueda en Google. Este aceptaba una dirección de destinatario a través de un parámetro de URL e incluía detalles de configuración del servidor en el mensaje, por lo que no era apto para utilizarse en un sitio activo.
La preocupación más amplia, dijo Ullrich, es la higiene del código: no deberían dejarse artefactos de desarrollo en sitios web de producción. Recomendó revisar los sistemas propios para detectar esos archivos y recalcó que lo mejor es detectar estos problemas durante la implementación de aplicaciones.
Fuentes: SANS Internet Storm Center.