CSIRT Panamá Aviso 2026-oct-8: Vulnerabilidad Crítica en ProFTPD (mod_copy) que permite leer y escribir archivos sin autenticación — CVE-2015-3306

Fecha de emisión: 8 de octubre de 2026
CVE ID: CVE-2015-3306
Severidad: CRÍTICA — CVSS 3.1: 10.0 (CISA-ADP)
Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Tipo de vulnerabilidad: CWE-284: Control de acceso incorrecto
Producto afectado: ProFTPD 1.3.5 con el módulo mod_copy
Explotación activa: Sí — Incluida en el catálogo CISA KEV (Known Exploited Vulnerabilities) desde el 8 de octubre de 2026 (fecha límite CISA: 11 de octubre de 2026)
Fuente: NVD / CISA / ProFTPD Project
Clasificación TLP: TLP:CLEAR (Difusión pública)

I. Descripción

Se ha identificado una vulnerabilidad de control de acceso incorrecto en el módulo mod_copy del servidor FTP ProFTPD, registrada como CVE-2015-3306 y calificada con 10.0 de 10 en la escala CVSS 3.1. El módulo acepta los comandos SITE CPFR y SITE CPTO antes de que el usuario se autentique, lo que permite a un atacante remoto copiar archivos arbitrarios del servidor con los privilegios del proceso ProFTPD. Combinado con un directorio web escribible, esto permite colocar un webshell y lograr la ejecución remota de código.

El 8 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorporó a su catálogo de Known Exploited Vulnerabilities (KEV), lo que confirma que está siendo explotada activamente. Existen exploits públicos desde 2015, incluido un módulo de Metasploit.

El modelo EPSS estima en 97 % la probabilidad de que sea explotada en los próximos 30 días.

Descripción técnica publicada en NVD (en inglés): «The mod_copy module in ProFTPD 1.3.5 allows remote attackers to read and write to arbitrary files via the site cpfr and site cpto commands.»

II. Productos Afectados

Producto	Versiones afectadas	Versión corregida
ProFTPD (con mod_copy cargado)	1.3.5	1.3.5a o posterior (se recomienda la versión estable más reciente)
Paquetes de distribuciones Linux (Debian, Fedora, openSUSE)	Paquetes proftpd 1.3.5 sin parche	Versión corregida publicada por cada distribución (p. ej., Debian DSA-3263-1)

III. Acciones Requeridas

1. Actualizar inmediatamente
Actualizar ProFTPD a 1.3.5a o posterior (corrección del bug 4169 «Unauthenticated copying of files via SITE CPFR/CPTO allowed by mod_copy»), o aplicar el paquete corregido de la distribución.

2. Mitigar inmediatamente si no es posible parchear
Deshabilitar el módulo mod_copy (eliminar o comentar LoadModule mod_copy.c en modules.conf/proftpd.conf) o bloquear los comandos con <Limit SITE_CPFR SITE_CPTO> DenyAll </Limit>, y reiniciar el servicio. Restringir el acceso al puerto 21/TCP desde Internet a direcciones de confianza y verificar que el usuario del servicio no tenga permisos de escritura sobre directorios web.

3. Verificar posible compromiso
El parche cierra el vector de explotación, pero no elimina un acceso que el atacante ya haya obtenido. No se han publicado indicadores de compromiso (IoC) oficiales asociados a esta inclusión en KEV. Como indicadores de detección, revisar:

• Registros de ProFTPD con comandos SITE CPFR/SITE CPTO, especialmente previos a un USER/PASS exitoso o con rutas como /proc/self/cmdline, /etc/passwd o el directorio web.
• Archivos .php u otros scripts nuevos o inesperados en directorios publicados por el servidor web (p. ej., /var/www/html).
• Peticiones HTTP a esos archivos, procesos hijos inesperados del servidor web, cuentas nuevas y conexiones salientes no habituales.

Reportar cualquier hallazgo a incidentes@cert.pa.

IV. Referencias

• ProFTPD Project. NEWS – 1.3.5a (Bug 4169). https://github.com/proftpd/proftpd/blob/1.3.5/NEWS
• ProFTPD Project. http://www.proftpd.org/
• Debian. DSA-3263-1 proftpd-dfsg. https://lists.debian.org/debian-security-announce/2015/msg00154.html
• openSUSE. Actualización de seguridad proftpd. https://lists.opensuse.org/…/WE6YZRG5UVXMGQ7IVDRYBPIWV4M6UUGM/
• Packet Storm. ProFTPD 1.3.5 mod_copy Command Execution (exploit). http://packetstormsecurity.com/files/132218/
• National Institute of Standards and Technology (NIST). National Vulnerability Database: CVE-2015-3306. https://nvd.nist.gov/vuln/detail/CVE-2015-3306
• CISA. Known Exploited Vulnerabilities Catalog. https://www.cisa.gov/known-exploited-vulnerabilities-catalog

V. Información de Contacto

CSIRT PANAMÁ · Computer Security Incident Response Team
Autoridad Nacional para la Innovación Gubernamental
E-Mail: incidentes@cert.pa · info@cert.pa
Phone: +507 520-CERT (2378) · Web: https://cert.pa · X: @CSIRTPanama · Key ID: 16F2B124