Una Botnet sfruttando XML-RPC

PHPXMLRPC è un componente incluso in decine di web application scritte in PHP. Il suo scopo è quello di implementare in PHP il protocollo XML-RPC per consentire remote call tra differenti host che utilizzano differenti sistemi: garantisce scambio e portabilità  di dati. In particolare viene utilizzata per gestire i ping che i blog si trasmettono per aggiornare i messaggi inviati.

Il protocollo ha sofferto nei mesi scorsi di alcuni problemi di sicurezza. Una vulnerabilità  dello scorso luglio 2005 ha avuto enorme eco tra gli sviluppatori. La libreria infatti viene utilizzata in sistemi come Drupal, WordPress, Phpgroupware, PostNuke rendendo vulnerabili tutti i sistemi su cui sono installati. Exploit e codici per sfruttarla, come del resto la patch, comparvero subito ma non vi furono attacchi su larga scala, anche se alcuni siti non aggiornati subirono diversi defacement.

Oggi qualcuno ci riprova, ma il fine non è quello di "bucare" il sito ma di creare una Botnet. Un wormetto chiamato da Symantec Plupii, e segnato come livello 2 di pericolosità  (su 5), gira da alcuni giorni sul web alla ricerca di versioni di PHPXMLRPC vulnerabili per installare backdoor. In recenti installazioni naturalmente il componente è aggiornato, ma la Botnet che il worm cerca di creare riuscirà  sicuramente a trovare qualche vecchio sistema vulnerabile da sfruttare. Dunque "occhio" e aggiornate le web application installate.