CVE-2015-3306 : ProFTPD CVSS 10.0 exploité par l'APT Flax Typhoon — CISA KEV

Les faits

La CISA (Cybersecurity and Infrastructure Security Agency) américaine a ajouté CVE-2015-3306 à son catalogue des vulnérabilités exploitées connues (KEV) le 8 octobre 2026, avec une date limite de remédiation fixée au 11 octobre 2026 pour les agences fédérales civiles américaines. Cette faille, vieille de onze ans et corrigée dans ProFTPD 1.3.5a dès 2015, fait l'objet d'une campagne d'exploitation active orchestrée par le groupe APT chinois Flax Typhoon, également connu sous le nom Integrity Technology Group.

CVE-2015-3306 est une vulnérabilité de contrôle d'accès défaillant (CWE-284) dans ProFTPD 1.3.5, un des serveurs FTP open source les plus répandus. Le problème réside dans le module mod_copy, activé par défaut dans la configuration ProFTPD 1.3.5, qui implémente les commandes FTP non standards SITE CPFR (Copy From) et SITE CPTO (Copy To). Ces commandes permettent la copie de fichiers sur le serveur FTP sans nécessiter d'authentification préalable. Un attaquant peut donc utiliser ces commandes pour lire n'importe quel fichier accessible par le processus ProFTPD sur le système, ou y écrire des fichiers arbitraires, y compris des web shells ou des clés SSH autorisées.

Le score CVSS de 10.0 (maximum absolu) reflète la gravité de cette faille : vecteur réseau (AV:N), complexité d'accès faible (AC:L), aucun privilège requis (PR:N), aucune interaction utilisateur (UI:N), impact complet sur la confidentialité, l'intégrité et la disponibilité. Un attaquant disposant d'un accès réseau au port FTP peut compromettre le serveur en quelques commandes sans aucun compte valide.

L'exploitation par Flax Typhoon suit un schéma documenté par le FBI et la CISA dans leur advisory conjoint d'octobre 2026. Le groupe cible en priorité les fichiers de configuration contenant des credentials : fichiers .env, configuration.php, database.yml, fichiers de configuration de services web, fichiers ~/.ssh/authorized_keys. Les credentials obtenus permettent ensuite un pivoting vers les bases de données MySQL/PostgreSQL, les serveurs SSH, et d'autres composants de l'infrastructure cible via des accès légitimes mais détournés.

Flax Typhoon est un groupe APT (Advanced Persistent Threat) attribué par les gouvernements américain et britannique à l'État chinois, plus précisément à Integrity Technology Group, une entreprise de sécurité basée à Pékin. Le groupe est actif depuis au moins 2021 et s'est spécialisé dans des campagnes d'espionnage à long terme ciblant les administrations gouvernementales, les entreprises de défense, les opérateurs de télécommunications et les infrastructures critiques, principalement aux États-Unis, à Taïwan, en Europe et en Asie du Sud-Est. Le FBI a procédé à la saisie partielle de leur infrastructure botnet en septembre 2024.

La campagne actuelle exploite un ensemble de cinq CVE historiques ajoutées simultanément au CISA KEV le 8 octobre 2026, dont CVE-2015-3306 est la plus ancienne. Cette approche illustre une tendance croissante des groupes APT à exploiter des vulnérabilités anciennes dans des logiciels legacy présents dans les environnements cibles mais rarement mis à jour. Un serveur ProFTPD 1.3.5 non patché depuis 2015 représente une cible idéale : visible sur Internet, facile à compromettre, et souvent oublié des équipes de sécurité car perçu comme un service secondaire.

ProFTPD 1.3.5 a été publié en 2013 et la version corrigée 1.3.5a est disponible depuis 2015. Pourtant, onze ans après la publication du correctif, des milliers de serveurs ProFTPD non mis à jour restent accessibles sur Internet selon les données Shodan et Censys, représentant une surface d'attaque persistante. La longueur de la fenêtre d'exploitation potentielle — plus d'une décennie — illustre le risque systémique posé par les logiciels non maintenus dans les environnements d'entreprise.

L'exploitation de CVE-2015-3306 ne laisse généralement pas de traces dans les journaux FTP standard, car les commandes SITE CPFR/CPTO peuvent s'exécuter lors de connexions anonymes qui ne sont pas toujours journalisées selon la configuration. Cette furtivité relative favorise des campagnes de reconnaissance et d'exfiltration prolongées, difficiles à détecter sans surveillance active des accès fichiers sur le système hôte.

L'ajout au CISA KEV intervient dans un contexte géopolitique tendu marqué par une intensification des campagnes d'espionnage cyber d'acteurs étatiques chinois documentée par les agences de renseignement occidentales. La directive contraignante CISA BOD 22-01 impose aux agences fédérales civiles américaines d'appliquer les correctifs listés dans le KEV dans les délais impartis — délai du 11 octobre 2026 désormais expiré — mais son applicabilité aux entreprises privées reste recommandatoire.

Impact et exposition

ProFTPD est un serveur FTP très répandu dans les environnements Linux et Unix, souvent déployé pour le transfert de fichiers internes, les accès de partenaires, les backups et les environnements d'hébergement web mutualisé. Sa présence dans des architectures parfois non documentées — serveurs legacy, appliances embarquées, environnements de développement oubliés — le rend difficile à inventorier et donc à patcher systématiquement.

L'accès aux fichiers de configuration obtenu via cette faille permet à Flax Typhoon de récupérer des credentials valides pour des systèmes tiers, transformant un serveur FTP secondaire en vecteur d'entrée vers des actifs bien plus sensibles : bases de données clients, systèmes de messagerie, outils de gestion d'infrastructure, VPN. La nature APT implique des objectifs d'espionnage à long terme plutôt que des attaques destructives immédiates, rendant la détection encore plus difficile.

Les organisations les plus exposées sont celles disposant de serveurs ProFTPD 1.3.5 accessibles depuis Internet sans contrôle d'accès par IP, dans les secteurs ciblés par Flax Typhoon : télécommunications, défense, énergie, administrations, recherche académique et think tanks. Les serveurs d'hébergement mutualisé exécutant ProFTPD pour leurs clients sont également une cible de choix pour une compromission à large échelle.

L'écriture arbitraire de fichiers permise par CVE-2015-3306 permet également à un attaquant de déposer des web shells PHP directement dans les répertoires web s'ils sont accessibles par le processus ProFTPD, ouvrant ainsi un vecteur d'exécution de code persistant sur le serveur web.

Recommandations immédiates

• Mettre à jour vers ProFTPD 1.3.5a minimum, idéalement vers la dernière version stable — releases officielles : ProFTPD Security Advisory 2015-11-18
• Désactiver ou supprimer le module mod_copy si non requis fonctionnellement (commenter la ligne LoadModule mod_copy.c dans proftpd.conf)
• Bloquer les commandes SITE CPFR et SITE CPTO via la directive <Limit SITE_COPY> DenyAll </Limit> dans la configuration ProFTPD
• Inventorier tous les serveurs ProFTPD du parc via un scan de port 21 interne et externe (nmap -p 21 --open -sV)
• Auditer les journaux FTP des 6 derniers mois pour détecter des connexions anonymes suspectes ou des accès à des fichiers de configuration
• Vérifier les fichiers ~/.ssh/authorized_keys sur tous les serveurs hébergeant ProFTPD pour détecter l'ajout de clés SSH non autorisées
• Changer les credentials présents dans les fichiers de configuration accessibles par le processus ProFTPD