CVE-2010-20103

Backdoor został wstrzyknięty bezpośrednio do oficjalnego archiwum tarball z kodem źródłowym ProFTPD 1.3.3c (CWE-912: ukryty mechanizm). Implementuje ukryte polecenie FTP, które po wywołaniu powoduje wykonanie przez serwer dowolnych poleceń powłoki systemowej (shell commands) z uprawnieniami root. Atak nie wymaga żadnego uwierzytelnienia ani interakcji ze strony użytkownika — wystarczy sieciowy dostęp do usługi FTP.

Atakujący uzyskuje pełną kontrolę nad systemem operacyjnym serwera FTP z uprawnieniami root, co pozwala na odczyt, modyfikację lub usunięcie danych, instalację złośliwego oprogramowania oraz dalszy lateral movement w sieci.

Należy natychmiast zastąpić instalacje ProFTPD 1.3.3c wersjami pobranymi z zaufanego źródła po 2 grudnia 2010 roku lub zaktualizować do nowszej wersji producenta. Zaleca się weryfikację sum kontrolnych pobranego archiwum źródłowego zgodnie z informacjami dostępnymi na stronie producenta (proftpd.org). Należy też przeprowadzić analizę powłoki i logów serwera pod kątem nieautoryzowanego dostępu.

ProFTPD w wersji 1.3.3c — wyłącznie instalacje zbudowane ze skompromitowanego archiwum źródłowego dystrybuowanego między 28 listopada a 2 grudnia 2010 roku

Backdoor był obecny w oficjalnym archiwum źródłowym przez okres około 4 dni (28 listopada – 2 grudnia 2010). Moduł exploit dla tego backdoora jest publicznie dostępny w Metasploit Framework (proftpd_133c_backdoor.rb). CVE opublikowane formalnie w 2025 roku, mimo że incydent miał miejsce w 2010 roku.