Secondo Johannes B. Ullrich, direttore della ricerca presso SANS.edu, di recente sugli honeypot di SANS sono comparsi scans che prendono di mira gli script di posta elettronica. Le richieste includono percorsi come /sendmail.php, /test-mail.php, /email-test.php e /mailtest.php. Ullrich ha affermato che l’attività potrebbe provenire da spammer alla ricerca di moduli web che consentano loro di scegliere il destinatario di un messaggio, sebbene non sia possibile collegare gli scans a una vulnerabilità specifica.
L’attività ricorda le prime falle delle applicazioni web, come CVE-2000-0411, che interessava uno script CGI usato per inviare e-mail. In quel caso, aggiungere parametri a un URL poteva esporre variabili d’ambiente. Altre vulnerabilità consentivano agli utenti di impostare l’indirizzo del destinatario, mentre il passaggio di parametri direttamente al binario sendmail poteva, in alcuni casi, permettere l’esecuzione di codice arbitrario.
Ullrich ha osservato che diversi nomi di file oggetto degli scans contengono la parola “test”, il che suggerisce che gli aggressori possano essere alla ricerca di script rimasti sul server durante lo sviluppo. Ha inoltre descritto un esempio di script per testare la posta trovato tramite una ricerca su Google. Lo script accettava l’indirizzo del destinatario attraverso un parametro URL e includeva nel messaggio dettagli sulla configurazione del server, rendendolo inadatto all’uso su un sito in produzione.
La preoccupazione più generale, ha affermato Ullrich, riguarda la pulizia del codice: gli artefatti di sviluppo non dovrebbero rimanere sui siti web in produzione. Ha raccomandato di controllare i sistemi di cui si è responsabili per individuare questi file, sottolineando al contempo che è preferibile intercettare questi problemi durante la distribuzione dell’applicazione.
Fonti: SANS Internet Storm Center.