{"id":6103,"date":"2026-10-09T08:26:15","date_gmt":"2026-10-09T13:26:15","guid":{"rendered":"https:\/\/cert.pa\/?p=6103"},"modified":"2026-10-12T13:31:28","modified_gmt":"2026-10-12T18:31:28","slug":"csirt-panama-aviso-2026-oct-8-vulnerabilidad-critica-en-proftpd-mod_copy-que-permite-leer-y-escribir-archivos-sin-autenticacion-cve-2015-3306","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=6103","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2026-oct-8: Vulnerabilidad Cr\u00edtica en ProFTPD (mod_copy) que permite leer y escribir archivos sin autenticaci\u00f3n \u2014 CVE-2015-3306"},"content":{"rendered":"\n

Fecha de emisi\u00f3n:<\/strong> 8 de octubre de 2026
CVE ID:<\/strong> CVE-2015-3306
Severidad:<\/strong> CR\u00cdTICA \u2014 CVSS 3.1: 10.0 (CISA-ADP)
Vector CVSS:<\/strong> CVSS:3.1\/AV:N\/AC:L\/PR:N\/UI:N\/S:C\/C:H\/I:H\/A:H
Tipo de vulnerabilidad:<\/strong> CWE-284: Control de acceso incorrecto
Producto afectado:<\/strong> ProFTPD 1.3.5 con el m\u00f3dulo mod_copy
Explotaci\u00f3n activa:<\/strong> S\u00ed \u2014 Incluida en el cat\u00e1logo CISA KEV (Known Exploited Vulnerabilities) desde el 8 de octubre de 2026 (fecha l\u00edmite CISA: 11 de octubre de 2026)
Fuente:<\/strong> NVD \/ CISA \/ ProFTPD Project
Clasificaci\u00f3n TLP:<\/strong> TLP:CLEAR (Difusi\u00f3n p\u00fablica)<\/p>\n\n\n\n

I. Descripci\u00f3n<\/strong><\/p>\n\n\n\n

Se ha identificado una vulnerabilidad de control de acceso incorrecto en el m\u00f3dulo mod_copy del servidor FTP ProFTPD, registrada como CVE-2015-3306 y calificada con 10.0 de 10 en la escala CVSS 3.1. El m\u00f3dulo acepta los comandos SITE CPFR<\/code> y SITE CPTO<\/code> antes de que el usuario se autentique, lo que permite a un atacante remoto copiar archivos arbitrarios del servidor con los privilegios del proceso ProFTPD. Combinado con un directorio web escribible, esto permite colocar un webshell y lograr la ejecuci\u00f3n remota de c\u00f3digo.<\/p>\n\n\n\n

El 8 de octubre de 2026, la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) la incorpor\u00f3 a su cat\u00e1logo de Known Exploited Vulnerabilities (KEV), lo que confirma que est\u00e1 siendo explotada activamente. Existen exploits p\u00fablicos desde 2015, incluido un m\u00f3dulo de Metasploit.<\/p>\n\n\n\n

El modelo EPSS estima en 97 % la probabilidad de que sea explotada en los pr\u00f3ximos 30 d\u00edas.<\/p>\n\n\n\n

Descripci\u00f3n t\u00e9cnica publicada en NVD (en ingl\u00e9s): \u00abThe mod_copy module in ProFTPD 1.3.5 allows remote attackers to read and write to arbitrary files via the site cpfr and site cpto commands.\u00bb<\/p>\n\n\n\n

II. Productos Afectados<\/strong><\/p>\n\n\n\n

Producto<\/th>Versiones afectadas<\/th>Versi\u00f3n corregida<\/th><\/tr><\/thead>
ProFTPD (con mod_copy cargado)<\/td>1.3.5<\/td>1.3.5a o posterior (se recomienda la versi\u00f3n estable m\u00e1s reciente)<\/td><\/tr>
Paquetes de distribuciones Linux (Debian, Fedora, openSUSE)<\/td>Paquetes proftpd 1.3.5 sin parche<\/td>Versi\u00f3n corregida publicada por cada distribuci\u00f3n (p. ej., Debian DSA-3263-1)<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

III. Acciones Requeridas<\/strong><\/p>\n\n\n\n

1. Actualizar inmediatamente<\/strong>
Actualizar ProFTPD a 1.3.5a o posterior (correcci\u00f3n del bug 4169 \u00abUnauthenticated copying of files via SITE CPFR\/CPTO allowed by mod_copy\u00bb), o aplicar el paquete corregido de la distribuci\u00f3n.<\/p>\n\n\n\n

2. Mitigar inmediatamente si no es posible parchear<\/strong>
Deshabilitar el m\u00f3dulo mod_copy (eliminar o comentar LoadModule mod_copy.c<\/code> en modules.conf<\/code>\/proftpd.conf<\/code>) o bloquear los comandos con <Limit SITE_CPFR SITE_CPTO> DenyAll <\/Limit><\/code>, y reiniciar el servicio. Restringir el acceso al puerto 21\/TCP desde Internet a direcciones de confianza y verificar que el usuario del servicio no tenga permisos de escritura sobre directorios web.<\/p>\n\n\n\n

3. Verificar posible compromiso<\/strong>
El parche cierra el vector de explotaci\u00f3n, pero no elimina un acceso que el atacante ya haya obtenido. No se han publicado indicadores de compromiso (IoC) oficiales asociados a esta inclusi\u00f3n en KEV. Como indicadores de detecci\u00f3n, revisar:<\/p>\n\n\n\n