CVE-2015-3306

ProFTPD Improper Access Control

10.0 KRITIEKActief misbruikt (CISA KEV)Publieke exploitEPSS 99.5%

Gepubliceerd18 mei 2015
Toegevoegd aan CISA KEV8 okt 2026
Hersteldeadline11 okt 2026

Beschrijving

The mod_copy module in ProFTPD 1.3.5 allows remote attackers to read and write to arbitrary files via the site cpfr and site cpto commands.

CVSS 3.1-ontleding

Attack vectorNetwork

Attack complexityLow

Privileges requiredNone

User interactionNone

ScopeChanged

ConfidentialityHigh

IntegrityHigh

AvailabilityHigh

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Getroffen producten

Proftpd1.3.5

Debian Linux7.0 · 8.0 · 9.0

Fedoraproject Fedora20 · 21 · 22

Opensuse Tumbleweedalle versies

Suse Linux Enterprise Server15

Herstel

Er is geen opgeloste versie vastgelegd in de NVD-data. Raadpleeg het leveranciersadvies voor de laatste richtlijnen.

Referenties

http://lists.fedoraproject.org/pipermail/package-announce/2015-May/157053.htmlBroken LinkMailing ListThird Party Advisory
http://lists.fedoraproject.org/pipermail/package-announce/2015-May/157054.htmlBroken LinkMailing ListThird Party Advisory
http://lists.fedoraproject.org/pipermail/package-announce/2015-May/157581.htmlBroken LinkMailing ListThird Party Advisory
http://lists.opensuse.org/opensuse-updates/2015-06/msg00020.htmlMailing ListThird Party Advisory
http://packetstormsecurity.com/files/131505/ProFTPd-1.3.5-File-Copy.htmlThird Party AdvisoryVDB Entry
http://packetstormsecurity.com/files/131555/ProFTPd-1.3.5-Remote-Command-Execution.htmlThird Party AdvisoryVDB Entry
http://packetstormsecurity.com/files/131567/ProFTPd-CPFR-CPTO-Proof-Of-Concept.htmlExploitVDB Entry
http://packetstormsecurity.com/files/132218/ProFTPD-1.3.5-Mod_Copy-Command-Execution.htmlExploitVDB Entry
http://packetstormsecurity.com/files/162777/ProFTPd-1.3.5-Remote-Command-Execution.htmlExploitVDB Entry
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2015-3306US Government Resource

en nog 5 referenties

Gerelateerde CVE's

Recente ernstige kwetsbaarheden met hetzelfde zwakhedentype.

Veelgestelde vragen

Wordt CVE-2015-3306 actief misbruikt?

Ja. CVE-2015-3306 staat in de CISA KEV-catalogus, toegevoegd op 8 okt 2026.

Hoe ernstig is CVE-2015-3306?

CVE-2015-3306 heeft een CVSS 3.1-basisscore van 10.0, beoordeeld als kritiek. EPSS schat een exploitkans van 99.5%.

Welke producten zijn getroffen door CVE-2015-3306?

Getroffen producten zijn onder meer Proftpd, Debian Linux, Fedoraproject Fedora, Opensuse Tumbleweed, Suse Linux Enterprise Server.

Hoe verhelp ik CVE-2015-3306?

Pas de patch of het advies van de leverancier toe en controleer dat er geen getroffen versies meer op uw apparaten staan.

Hoe Secuno hiermee omgaat

Secuno correleert kwetsbaarheden zoals CVE-2015-3306 dagelijks tegen de werkelijke software-inventaris op elk beheerd apparaat. In plaats van een statische ernst wordt elke match in context gescoord: exploitbeschikbaarheid, EPSS, de blootstelling van het asset en bedrijfskriticiteit bepalen de prioriteit. Omdat deze op de CISA KEV-lijst staat, markeert Secuno elk getroffen asset automatisch als topprioriteit. Als een getroffen versie ergens in uw portfolio aanwezig is, verschijnt die automatisch met een geprioriteerd hersteltraject.

Zie hoe prioritering werkt Plan een demo

Data uit de NVD, CISA KEV-catalogus en FIRST EPSS. CVSS 3.1-basisscore getoond indien beschikbaar.