>хочу посмотреть я на такой список для vsftpd через лет пять :-)

vsftpd изначально проектировался с учетом повышенных требований к безопасности, proftpd был создан как курсовик, в первом же релизе там нашли несколько дыр, и до сих пор код не причесали как следует.

PS. По вашей логике через 15 лет в postifx и qmail будет такой же список дыр как в sendmail :-) Есть безграмотно написанные программы, а есть профессионально, в этом и отличие proftpd от vsftpd, и никакой "базар" ("собор" и "базар") не поможет отладить все ошибки.

>большинство из этих "дыр" были успешно закрыты еще до их обнаружения.

Подобные дыры вообще не должны появляться. Сколько еще не обнаруженных дыр в proftpd ? В vsftpd их нет, так как проектировали его головой.