ProFTPD mod_copy (CVE-2015-3306)

El módulo mod_copy de ProFTPD 1.3.5 añade los comandos FTP SITE CPFR (copy from) y SITE CPTO (copy to), pensados para copiar ficheros dentro del propio servidor sin descargarlos y volver a subirlos. El problema (CVE-2015-3306) es que, en la versión vulnerable, no exigen autenticación: cualquiera que hable con el puerto 21 puede copiar ficheros arbitrarios del sistema, con los permisos del proceso FTP.

Esto no da ejecución de código por sí solo, pero sí una primitiva de copia arbitraria muy potente. Dos usos típicos:

• Leer ficheros sensibles copiándolos a una ruta accesible. Si el FTP comparte (o hay un SMB/HTTP que sirve) un directorio, se copia allí /etc/shadow, un shadow.bak, una clave privada, etc., y se lee desde ese servicio:

site cpfr /var/backups/shadow.bak
site cpto /home/aeolus/share/shadow.bak    # ...luego se lee vía SMB/HTTP

• RCE copiando un webshell PHP al docroot si conocemos su ruta: SITE CPFR desde un fichero cuyo contenido controlamos (por ejemplo /proc/self/cmdline o un fichero subido) y SITE CPTO /var/www/html/shell.php.

# la copia sin autenticar, directamente por netcat
printf 'site cpfr /etc/passwd\r\nsite cpto /tmp/passwd\r\n' | nc <ip> 21
# metasploit hace el webshell -> RCE de un tiro
msfconsole -q -x "use exploit/unix/ftp/proftpd_modcopy_exec; set RHOSTS <ip>; set SITEPATH /var/www/html; run"

El descubrimiento suele encadenarse con enumeración previa: un .log o un smb.conf filtrado por SMB anónimo que revele la ruta del backup y la del recurso compartido convierte la copia en un camino directo a los hashes.

Requisitos. ProFTPD 1.3.5 con mod_copy cargado; el proceso FTP debe tener permiso de lectura sobre el origen y de escritura sobre el destino. Los hashes obtenidos aún hay que romperlos con John/Hashcat.

Cómo detectarlo. La firma está en el log de ProFTPD: comandos SITE CPFR/SITE CPTO, más aún sin un login previo (sin USER/PASS correctos), que casi ningún cliente legítimo usa; un destino en el docroot (/var/www) o en un recurso compartido es la señal de webshell, y un origen /etc/shadow/una clave privada, la de exfiltración. En el host, la aparición de un .php nuevo en el webroot o la copia de un fichero sensible a una ruta legible por todos (FIM/auditd) confirma el abuso. El banner ProFTPD 1.3.5 en el 21 es la exposición previa.

Defensa. Actualizar ProFTPD, descargar mod_copy si no se usa, y exigir autenticación para SITE CPFR/SITE CPTO. No dejar rutas de backups ni de recursos compartidos expuestas en logs legibles.