Circa un mese fa è stata individuata una backdoor all'interno del sorgente di vsftpd, famoso demone FTP server.
Questa backdoor consente l'accesso alla shell semplicemente digitando come username "X:)", lasciando il campo password vuoto (maggiori dettagli sulla tarball compromessa li trovate qui).
Avendo aggiornato vsftp alla versione 2.3.4 poco dopo il suo rilascio (orientativamente durante gli ultimi giorni di giugno), ho voluto verificare che il demone installato sui miei server non fosse infetto.
Ho quindi cercato qualche tool che mi permettesse di effettuare tale controllo, trovando uno script per nmap che fa proprio al caso mio.
Lo script in questione lo potete scaricare da qui. Una volta scaricato, modificatelo ed aggiungete una description, ad esempio:
description = "check vsftpd 2.3.4 backdoor vulnerability"
da inserire subito dopo categories
Ora assicuratevi che all'interno della directory /usr/share/nmap/nselib/ sia presente la libreria ftp.lua (in caso contrario potete scaricarla da qui).
Infine, lanciate lo script seguendo la sintassi:
nmap --script ftp-vsftpd-backdoor -p 21 <host>
Se l'output di tale script sarà simile al seguente:
PORT STATE SERVICE
21/tcp open ftp
| ftp-vsftpd-backdoor:
| This installation has been backdoored (CVE-2011-2523): VULNERABLE
| Shell command: id
|_ Results: uid=0(root) gid=0(root) groups=0(root)
dovrete correre ai ripari sostituendo la versione "bucata" di vsftpd con quella corretta (che potete scaricare da qui).
A presto.
PS: ho avuto fortuna, in quanto nessuno dei demoni vsftpd presenti sui miei server conteneva backdoor.