ProFTPD CVE-2015-3306: acces la fișiere prin mod_copy, în KEV

Pe 8 octombrie 2026, CISA a adăugat în catalogul Known Exploited Vulnerabilities (KEV) CVE-2015-3306, o vulnerabilitate din ProFTPD, server FTP pentru sisteme Linux și Unix. Defectul se află în modulul mod_copy din ProFTPD 1.3.5 și permite unui atacator de la distanță să citească și să scrie fișiere arbitrare pe server, cu ajutorul comenzilor FTP SITE CPFR și SITE CPTO.

Vulnerabilitatea nu este nouă: a fost publicată pe 18 mai 2015, iar încă din 2015 Debian, Fedora și openSUSE și-au publicat buletinele de actualizare. Catalogul KEV reunește însă vulnerabilitățile pentru care CISA are dovezi de exploatare activă. Intrarea în catalog este deci un semnal de luat în serios dacă mai ai servere ProFTPD neactualizate.

Ce s-a întâmplat

CISA a inclus CVE-2015-3306 în KEV cu descrierea „ProFTPD Improper Access Control Vulnerability” și a stabilit termenul de 11 octombrie 2026 pentru agențiile federale americane: trei zile, un termen foarte scurt. În catalog, utilizarea în campanii ransomware este indicată ca „necunoscută”.

Avizul cere aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, în acord cu directiva BOD 26-04 privind prioritizarea actualizărilor în funcție de risc și cu cerințele CISA de triaj criminalistic. Dacă nu există măsuri de atenuare, produsul trebuie scos din uz. Avizul cere și evaluarea expunerii la internet a fiecărui sistem.

Catalogul nu oferă detalii despre atacurile observate, autori sau victime și nici nu explică de ce vulnerabilitatea intră în KEV abia acum.

Detalii tehnice

• CVE: CVE-2015-3306, publicată pe 18 mai 2015. Fișa NVD a fost actualizată pe 9 octombrie 2026 și este din nou în curs de analiză.
• Produs și versiune afectată: ProFTPD 1.3.5, modulul mod_copy. Este singura versiune indicată în fișa NVD.
• Comenzi implicate: SITE CPFR (copy from) și SITE CPTO (copy to), cu care modulul copiază fișiere pe server.
• Efect: citirea și scrierea de fișiere arbitrare de către un atacator de la distanță.
• Gravitate: CVSS 3.1 10.0 (critică), AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Atacul se face prin rețea, are complexitate scăzută, nu necesită privilegii sau interacțiunea utilizatorului și afectează confidențialitatea, integritatea și disponibilitatea, chiar și dincolo de componenta vulnerabilă (scope changed). CVSS 2: 10.0.
• Slăbiciune: CWE-284 (control impropriu al accesului).
• Cod public: printre referințele fișei NVD apar două exploit-uri pe Exploit-DB, mai multe pagini Packet Storm (între care „ProFTPd CPFR/CPTO Proof Of Concept” și „ProFTPd 1.3.5 Remote Command Execution”) și un modul Metasploit de la Rapid7 numit proftpd_modcopy_exec. După titluri, codul public nu se limitează la copierea fișierelor, ci ajunge la execuția de comenzi.
• Buletine asociate: fișa NVD enumeră avizele Debian (DSA-3263), Fedora și openSUSE, care au distribuit pachete corectate.
• MITRE ATT&CK: exploatarea unui serviciu expus corespunde tehnicii T1190 (Exploit Public-Facing Application).

Impactul pentru companiile europene și italiene

Un server FTP servește la schimbul de fișiere: cu această vulnerabilitate, un atacator poate citi fișiere pe care nu ar trebui să le vadă și poate scrie altele noi acolo unde nu ar trebui. Conform vectorului CVSS, nu sunt necesare credențiale: contează doar dacă serviciul este accesibil. Impactul asupra confidențialității, integrității și disponibilității este ridicat.

Cele mai expuse sunt sistemele pe care nimeni nu le mai actualizează de ani de zile: servere vechi de schimb de fișiere, mașini virtuale uitate, instalări compilate manual care nu au primit niciodată actualizările distribuției. Cu exploit-uri publice disponibile de peste zece ani, o versiune 1.3.5 încă expusă la internet trebuie tratată ca un risc concret.

Pentru entitățile care intră sub incidența NIS2, compromiterea unui server expus este un incident de evaluat în vederea notificării către CSIRT-ul național, care în Italia este CSIRT Italia din cadrul ACN. Același lucru este valabil pentru unitățile sanitare, unde serverele de schimb de fișiere pot prelucra date personale și clinice.

Ce faci acum

1. Fă inventarul: identifică toate sistemele pe care rulează ProFTPD, inclusiv cele interne, cele expuse la internet și echipamentele care îl includ.
2. Verifică versiunea și modulele: versiunea indicată ca vulnerabilă este 1.3.5. Verifică și dacă modulul mod_copy este încărcat în configurație. Dacă folosești pachetele unei distribuții Linux, verifică starea în buletinul distribuției, nu doar după numărul versiunii.
3. Actualizează: instalează versiunea corectată indicată de producător sau pachetul actualizat al distribuției tale. Dacă mai găsești instalări din acea perioadă, ia în calcul trecerea la o versiune suportată.
4. Dacă nu poți actualiza, aplică măsurile de atenuare indicate de producător. Dacă nu există, CISA recomandă scoaterea produsului din uz.
5. Redu expunerea: verifică ce servere FTP răspund din internet și dacă acest lucru este cu adevărat necesar.
6. Detectează: caută în jurnalele serverului FTP comenzile SITE CPFR și SITE CPTO, mai ales de la adrese necunoscute, și verifică integritatea fișierelor din folderele accesibile serviciului. Dacă găsești urme, tratează serverul ca fiind compromis și evaluează obligațiile de notificare.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet și le scoate în evidență pe cele deja exploatate de atacatori, precum CVE-urile din catalogul KEV: te ajută să găsești rapid serverele cu ProFTPD de actualizat. ARX Expose verifică serviciile pe care compania ta le expune pe internet, produsele recunoscute și vulnerabilitățile lor cunoscute. ARX Sentry colectează jurnale și evenimente de pe serverele Linux și controlează integritatea fișierelor din folderele stabilite, astfel încât o scriere neașteptată să nu treacă neobservată.

Ultima actualizare: 8 octombrie 2026