А по-моему это отличный пример того, что подписи (GPG detached signatures) на upstream tarball'ах работают, по крайней мере иногда. И еще это пример того, что Крис подготовился к этой возможной проблеме заранее, подписывая релизы. Если риск был известен и по нему были приняты должные меры - то какой же это fail? Не все должные меры? Возможно. Но один из уровней безопасности сработал-таки.

Думаю, не найдется ни одного дистрибутива, включающего этот бекдор. Многие проверяют подписи, а бекдор существовал на сайте очень недолго. К сожалению, нет информации о том сколько именно; мое предположение - 1-3 дня. Подпись помогла и здесь.

В Owl, при обновлении на версию 2.3.4 (уже достаточно давно) мы подпись проверяли, а также конкретно для vsftpd я бегло просматриваю diff'ы между версиями - они достаточно маленькие - и я делал это и конкретно для 2.3.4 (относительно 2.3.2). Такую явную вещь я бы заметил. (Более хитрую мог бы и упустить, да.) Это для тех, кто говорит что Open Source не помогает от бекдоров т.к. исходники никто не читает. В этом есть доля истины, но не вся истина.