Des scans visant des scripts de courrier électronique sont récemment apparus sur les pots de miel de SANS, selon Johannes B. Ullrich, doyen de la recherche à SANS.edu. Les requêtes comprennent des chemins tels que /sendmail.php, /test-mail.php, /email-test.php et /mailtest.php. Ullrich a indiqué que cette activité pourrait provenir de spammeurs à la recherche de formulaires Web leur permettant de choisir le destinataire d’un message, bien que les scans ne puissent être associés à une vulnérabilité précise.
Cette activité rappelle les premières failles des applications Web, comme CVE-2000-0411, qui touchait un script CGI utilisé pour envoyer des courriers électroniques. Dans ce cas, l’ajout de paramètres à une URL pouvait révéler des variables d’environnement. D’autres vulnérabilités permettaient aux utilisateurs de définir l’adresse du destinataire, tandis que le passage de paramètres directement au binaire sendmail pouvait, dans certains cas, permettre l’exécution de code arbitraire.
Ullrich a relevé que plusieurs noms de fichiers recherchés contiennent le mot « test », ce qui laisse penser que les attaquants pourraient chercher des scripts oubliés lors du développement. Il a également décrit un exemple de script de test d’envoi de courriels trouvé au moyen d’une Recherche Google. Celui-ci acceptait une adresse de destinataire par le biais d’un paramètre d’URL et incluait dans le message des détails sur la configuration du serveur, ce qui le rendait inadapté à une utilisation sur un site en production.
Selon Ullrich, le problème plus général concerne l’hygiène du code : les éléments issus du développement ne devraient pas être laissés sur des sites en production. Il a recommandé de vérifier la présence de tels fichiers sur les systèmes que l’on possède, tout en soulignant que ces problèmes devraient idéalement être détectés lors du déploiement de l’application.
Sources: SANS Internet Storm Center.