ProFTPD: Beliebiges Lesen und Schreiben von Dateien über mod_copy (SITE CPFR/CPTO)

Zusammenfassung

Das Modul mod_copy in ProFTPD 1.3.5 erlaubt es entfernten Angreifern, über die Befehle SITE CPFR und SITE CPTO beliebige Dateien auf dem Server zu lesen und zu schreiben. Gemäss CVSS-Vektor sind weder Berechtigungen noch eine Benutzerinteraktion erforderlich, die Lücke kann also ohne gültige Anmeldung ausgenutzt werden. Öffentlicher Exploit-Code existiert, und CISA führt die Schwachstelle als aktiv ausgenutzt.

Betroffen

• ProFTPD 1.3.5 (gemäss NVD)
• Einige Sekundärquellen nennen zusätzlich 1.3.4e (unverifiziert)

Behoben in

• Debian DSA-3263-1: wheezy 1.3.4a-5+deb7u3, jessie 1.3.5-1.1+deb8u1, unstable 1.3.5-2
• Upstream-Version mit Korrektur: unbestätigt. Tenable nennt ProFTPD 1.3.5a oder 1.3.6rc1 und neuer; vor einer Verwendung auf der ProFTPD-Website prüfen.

Umgehung

• Modul mod_copy in der ProFTPD-Konfiguration deaktivieren, falls ein Patch nicht sofort möglich ist (häufig genannte Massnahme)
• Externen Zugriff auf den FTP-Dienst mit einer Firewall-Allowlist oder einem VPN blockieren

Ausnutzung

• CISA KEV: als aktiv ausgenutzt gelistet, aufgenommen am 2026-10-08 (nicht im Katalog von cisa.gov verifiziert)
• Öffentlicher Proof-of-Concept-Code und ein Metasploit-Modul sind verfügbar
• Ein gemeldeter Bezug zur Gruppe Flax Typhoon ist unverifiziert

Unsere Empfehlung

• Alle FTP-Server inventarisieren, einschliesslich Container und Altsysteme, und die ProFTPD-Versionen erfassen
• ProFTPD auf die aktuelle Version oder das korrigierte Paket der Distribution aktualisieren; Builds von 1.3.5 und älter dringend behandeln
• mod_copy deaktivieren und den FTP-Zugriff einschränken, bis das Update installiert ist
• FTP-Logs auf SITE CPFR- und SITE CPTO-Anfragen prüfen und jeden Treffer als möglichen Vorfall behandeln

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (18 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  xyk0x/cpx_proftpd · nootropics/propane · t0kx/exploit-CVE-2015-3306 · davidtavarez/CVE-2015-3306 · cved-sources/cve-2015-3306
• Metasploit-Modul exploit/unix/ftp/proftpd_modcopy_exec
• Exploit-DB EDB-ID 49908 26.05.2021
• Exploit-DB EDB-ID 37262 10.06.2015
• Exploit-DB EDB-ID 36803 21.04.2015
• Exploit-DB EDB-ID 36742 13.04.2015

Quellen der Recherche

• Debian Security Advisory DSA-3263 www.debian.org
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• Tenable Nessus plugin 84215 www.tenable.com
• Debian Security Tracker CVE-2015-3306 security-tracker.debian.org
• Exploit-DB 36742 www.exploit-db.com
• Rapid7 Metasploit module proftpd_modcopy_exec www.rapid7.com
• xhack.io analysis of CVE-2015-3306 xhack.io
• BleepingComputer: ProFTPD vulnerability lets users copy files www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:22.