Ett gammalt fel får en ny operativ prioritet

CISA lade den 8 oktober 2026 till CVE-2015-3306 i KEV, katalogen över sårbarheter med känd exploatering. Nyheten är alltså ett nytt exploateringsbesked om ett äldre ProFTPD-fel, inte en nyupptäckt sårbarhet eller en patch som släppts denna vecka. Katalogen anger också att användning i ransomwarekampanjer är okänd. Den bekräftar inte att just din server är angripen och beskriver ingen specifik pågående kampanj.

För svenska driftteam är nästa steg att fastställa om en berörd filöverföringstjänst fortfarande finns och går att nå. Att en komponent är gammal är inget bevis för att den finns kvar, men heller inget skäl att hoppa över inventeringen. Särskilt tjänster som ingår i äldre leveranser behöver en ansvarig ägare och ett dokumenterat versionsunderlag.

Komponenten och den verifierade risken

Felet finns i mod_copy i ProFTPD. SUSE beskriver godtycklig läsning och skrivning av filer i ProFTPD 1.3.5. Den ursprungliga rapporten till oss-security, daterad 15 april 2015, beskriver att kopieringen kan ske utan autentisering när modulen är aktiverad. Detta är ett tjänste- och modulfel, inte en sårbarhet i Linuxkärnan eller OpenSSH.

Filen och tjänstens rättigheter spelar roll för den praktiska konsekvensen. LabOps IT:s analys är att möjligheten att ändra serverfiler kan vara allvarlig även utan ett generellt påstående om rootövertagande. Källunderlaget räcker inte för att hävda att varje installation ger en angripare root eller att fjärrkörning av kod är ovillkorlig. Vi publicerar därför inga sådana slutsatser och inga exploateringssteg.

SUSE klassar ärendet som moderate, men visar samtidigt NVD:s historiska CVSS 2.0-poäng 10.0, med vektorn AV:N/AC:L/Au:N/C:C/I:C/A:C. Skillnaden ska vara synlig: leverantörens prioritering och en äldre CVSS-modells numeriska resultat är olika uppgifter. Poängen är inte ett CVSS 3.1- eller 4.0-värde. KEV-beskedet väger tungt i vår aktuella åtgärdsbedömning.

Berörda och rättade paket måste skiljas åt

Debians säkerhetsspårare visar att Wheezy historiskt rättades i 1.3.4a-5+deb7u3 och Jessie i 1.3.5-1.1+deb8u1, via DSA-3263-1. Squeeze anges som inte berörd eftersom dess version saknade mod_copy. Detta visar varför ett kort upstream-versionsnummer inte ensamt kan avgöra om ett distributionspaket har rättningen.

I den aktuellt lästa Debian-tabellen är Bookworm och Trixie markerade som rättade. Exempel i tabellen är Bookworm 1.3.8+dfsg-4+deb12u5 och Trixie 1.3.8.c+dfsg-4+deb13u3. Dessa är verifierade paketposter, inte en garanti för att en viss organisations installation är uppdaterad. Kontrollera det installerade paketets fullständiga version och distributionens säkerhetsstatus.

SUSE:s sida anger bland annat rättade paket för SLES 15 SP7 från 1.3.8b-150600.13.6.1 och en Tumbleweed-post från 1.3.5b-2.5. Sidan skapades 15 april 2015 och uppdaterades senast 5 september 2026. Versionsgränserna gäller de namngivna leveranserna och ska inte överföras till andra distributioner.

De historiska versionerna är inte rekommenderade installationsmål för 2026. Välj en supportad leverans med dokumenterad rättning. För egenbyggda paket eller en komponent inuti en appliance behövs leverantörens bekräftelse; att ett nutida Debian-paket är rättat säger inget om den inbäddade kopian.

Från inventering till verifierad åtgärd

LabOps IT rekommenderar ett arbetsflöde med fyra beslutspunkter. Börja med att identifiera tjänstens ägare, leveransform, paketversion och faktisk nätverksexponering. Kontrollera därefter om mod_copy är tillgänglig och aktiv i den berörda installationen. Använd lokala konfigurationsunderlag och leverantörsdokumentation; en etikett i en inventarielista är inte tillräcklig.

Välj sedan rättning eller en tillfällig begränsning som går att verifiera. Slutligen ska både säkerhetsläget och verksamhetsflödet kontrolleras efter ändringen. Illustrationens rörliga markörer visar denna rekommenderade beslutsordning, inte angriparens väg genom systemet.

LabOps IT:s rekommenderade åtgärdsflöde. Animationen visar beslutsordningen, inte exploatering.

En tillfällig nätverksbegränsning kan minska exponeringen medan paketstatus utreds. Den ska ha ägare, tidsgräns och ett efterföljande patchbeslut. Om modulen ska avaktiveras behöver detta först stämmas av mot leverantörens konfiguration och beroende funktioner. Vi har inte verifierat en universell workaround för alla ProFTPD-leveranser.

Vid misstänkt intrång bör incidentansvariga kopplas in innan bevismaterial går förlorat. Bevara relevanta loggar och dokumentera vad som ändras enligt organisationens incidentrutiner. Att installera en rättning innebär inte att tidigare obehöriga filändringar automatiskt återställs. Inventering, rättning och incidentutredning är skilda arbetsuppgifter med olika beviskrav.

Driftpåverkan och kontroll efter ändringen

Planera ett underhållsfönster som tar hänsyn till pågående överföringar och beroende integrationer. En omstart eller konfigurationsändring kan påverka tjänstens tillgänglighet; exakt beteende behöver kontrolleras för den egna leveransen. Artikeln anger därför ingen allmän garanti om avbrottsfri patchning.

Testa avsedda överföringar, filrättigheter och autentisering efter ändringen. Kontrollera också att den process som faktiskt körs använder den rättade installationen. En uppdaterad paketdatabas är svagare bevis än ett dokumenterat samband mellan paket, konfiguration och aktiv tjänst.

Dokumentera resultatet i ändringsärendet: tillgång, ansvarig, fullständig paketversion, leverantörens rättningsreferens, exponering före och efter samt genomförda funktionstester. Om tjänsten inte längre behövs är kontrollerad avveckling ett alternativ. Säkerställ först att inga schemalagda jobb eller externa parter är beroende av den.

LabOps IT:s bedömning

Akut gäller en verifierat berörd och exponerad installation: känd exploatering och oautentiserad filåtkomst motiverar snabb hantering. Hög gäller en berörd intern tjänst där nåbarhet och skydd fortfarande måste utredas. Planerad passar dokumenterad kontroll av redan rättade installationer utan kvarvarande exponering. Detta är vår redaktionella prioritering, inte en ny officiell CVSS-klassning.

Exploateringsstatus är känd exploatering enligt KEV. En fungerande offentlig PoC har inte verifierats i denna granskning; vi har inte hämtat eller testat exploateringskod. Ransomwarekoppling och lokalt intrång är okända. Dessa begränsningar ska inte döljas bakom en hög poäng eller ett akut råd.

CISA:s katalogpost anger 11 oktober som åtgärdsdatum i sitt amerikanska regelverk. Det är inte en generell svensk juridisk deadline. Vår rekommendation är att låta verifierad exponering och verksamhetsrisk styra, med snabb kontroll av berörda system och supportade uppdateringsmål.

Källor