'ProFTPD อ่านเขียนไฟล์ก่อนล็อกอิน CVE-2015-3306 ถูกโจมตีจริง'

พอดีไล่ฟีด CISA KEV เจอ ProFTPD กับช่องโหว่ CVE-2015-3306 ซึ่งถูกเพิ่มเข้ารายการเมื่อ 8 ตุลาคม 2026 ประเด็นคือมีการนำช่องโหว่นี้ไปโจมตีจริงแล้ว แม้ตัวช่องโหว่จะมีแพตช์มานาน ผู้ดูแล FTP ที่ยังใช้แพ็กเกจเก่าหรือคอมไพล์เองควรตรวจรุ่นและโมดูลที่เปิดใช้งาน โดย CISA กำหนดวันครบกำหนดแก้ไขไว้ที่ 11 ตุลาคม 2026 ตามรายการ KEV ของ CISA

เกิดอะไรขึ้น

ปัญหาอยู่ที่การควบคุมการเข้าถึงของ mod_copy ซึ่งเป็นโมดูลคัดลอกไฟล์ภายในเครื่องเซิร์ฟเวอร์ คำสั่ง SITE CPFR ใช้ระบุไฟล์ต้นทาง และ SITE CPTO ใช้ระบุปลายทาง รุ่นที่มีปัญหายอมให้เรียกใช้งานก่อนผ่านการยืนยันตัวตน ผู้โจมตีที่เข้าถึงบริการได้เลยอาจใช้ช่องทางนี้อ่านและเขียนไฟล์โดยไม่ต้องมีบัญชี FTP ตามรายละเอียดในบันทึก CVE-2015-3306 และแพตช์ของผู้พัฒนา ProFTPD

ผู้โจมตีอาจอ่านข้อมูลหรือเขียนทับไฟล์ได้ แต่ยังขึ้นกับสิทธิ์ของโปรเซสด้วย คำว่าอ่านเขียนไฟล์ตามต้องการไม่ได้หมายความว่าจะเข้าถึงทุกไฟล์ในระบบได้เสมอ สำหรับการประเมินความเสี่ยง ข้อมูล CISA-ADP ในระเบียน CVE ฉบับ JSON ให้ CVSS v3.1 เท่ากับ 10.0 ระดับ Critical ระบุว่าโจมตีผ่านเครือข่ายได้ ไม่ต้องมีสิทธิ์ล่วงหน้า และไม่ต้องให้ผู้ใช้มีส่วนร่วม

ใครโดนและรุ่นที่แก้

คำอธิบาย CVE ระบุ ProFTPD 1.3.5 ที่มี mod_copy แต่ไม่ควรตรวจแค่เลข upstream เพราะดิสทริบิวชันอาจนำโมดูลหรือแพตช์ไปใส่ในแพ็กเกจของตัวเอง ตารางนี้แสดงรุ่นที่มีการแก้ไขจากNEWS ของ ProFTPD 1.3.5a, NEWS ของ 1.3.6rc1 และDebian Security Tracker ซึ่งอ้างอิง DSA-3263-1

เลขรุ่นในตารางเป็นหลักฐานของแพตช์ย้อนหลัง ไม่ใช่คำแนะนำให้ติดตั้งระบบปฏิบัติการเก่าหรือรุ่นทดสอบ ผู้ดูแลควรเลือกแพ็กเกจที่ยังได้รับการดูแลจากแหล่งที่ใช้งาน และตรวจ changelog ว่ารวมการแก้ CVE นี้แล้ว ส่วน Debian squeeze ถูกระบุว่าไม่กระทบ เพราะรุ่น 1.3.3 ไม่มี mod_copy

ต้องทำอะไร

ตรวจ binary และ configuration ที่บริการใช้จริง รวมถึงโมดูลที่โหลด หากติดตั้งไว้หลายชุด ต้องตรวจให้ตรงกับโปรเซสที่รันอยู่ ตัวอย่างนี้ใช้ตรวจรุ่นและ syntax ของ configuration เมื่อเรียก binary ผ่าน PATH

proftpd -v
sudo proftpd -t

คำสั่งเหล่านี้เป็นการตรวจเบื้องต้น ไม่ได้ยืนยันว่ามีแพตช์ครบหรืออัปเดตให้แล้ว ให้เทียบรุ่นแพ็กเกจเต็มกับประกาศของดิสทริบิวชัน สำรอง configuration แล้วติดตั้งอัปเดตตามช่องทางของผู้ดูแลแพ็กเกจ จากนั้นเริ่มบริการใหม่ตามวิธีของระบบ ตรวจว่าโปรเซสใช้ binary ที่อัปเดตแล้ว และทดสอบการรับส่งไฟล์ตามงานปกติ

รายละเอียดข้างต้นมาจากrelease notes ของ ProFTPD หากยังติดตั้งแพตช์ไม่ได้ ควรจำกัดการเข้าถึงบริการชั่วคราวตามสภาพแวดล้อม และหยุดใช้เมื่อไม่มีวิธีลดความเสี่ยงที่เหมาะสมตามแนวทาง CISA การจำกัดเครือข่ายเป็นคำแนะนำลดการเปิดรับ ไม่ใช่หลักฐานว่าตัวช่องโหว่ถูกแก้แล้ว

ควรเก็บ log และตรวจไฟล์ที่เปลี่ยนโดยไม่คาดหมาย เพราะแพตช์ไม่ได้ย้อนคืนผลจากการบุกรุก รายการ CISA ระบุให้ทำ forensic triage ด้วย ส่วนเส้นตายเป็นข้อกำหนดสำหรับหน่วยงานในขอบเขตคำสั่ง องค์กรอื่นใช้จัดลำดับความเร่งด่วนได้

ส่วนตัวผมให้เรื่องนี้อยู่คิวเร่งแก้ทันทีถ้าเปิด ProFTPD รุ่นที่มีช่องโหว่ให้เข้าถึงจากอินเทอร์เน็ต เพราะอยู่ในรายการที่ถูกโจมตีจริงแล้ว

ที่มา: CVE-2015-3306 และ CISA Known Exploited Vulnerabilities Catalog หากมีรายละเอียดจากผู้พัฒนาเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ