ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา
กลับสู่ศูนย์แจ้งเตือนภัยคุกคาม (All Advisories)
CRITICALCVSS 10.0TLP:CLEAR
UPCYBER-ADV-2026-063
10 ตุลาคม 256935 ครั้ง

แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤตใน ProFTPD (CVE-2015-3306)

CISA KEV: ProFTPD Improper Access Control Vulnerability in ProFTPD ProFTPD (CVE-2015-3306)

10.0
CVSS v3.x Score
CRITICAL SEVERITY
ประเภทภัยคุกคาม
ช่องโหว่ความปลอดภัย (Vulnerability)
แหล่งที่มาข้อมูล
CISA KEV
CVE-2015-3306CWE-284Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
บทสรุปภาพรวม (Executive Summary)

ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2015-3306 ในระบบ ProFTPD ซึ่งเกิดจากข้อผิดพลาดในโมดูล mod_copy เปิดทางให้ผู้ไม่ประสงค์ดีสามารถอ่านและเขียนไฟล์ในระบบได้โดยไม่ต้องมีการยืนยันตัวตน ส่งผลกระทบระดับความรุนแรงสูงสุด (CVSS 10.0) และมีความเสี่ยงสูงที่จะถูกนำไปใช้โจมตีระบบเครือข่าย

ตารางวิเคราะห์ระบบที่ได้รับผลกระทบและการแก้ไข (Matrix)
ผลิตภัณฑ์และเวอร์ชันที่พบช่องโหว่ (Affected)
ProFTPD ProFTPD
เวอร์ชันที่ได้รับการแก้ไขแล้ว (Fixed / Patched)
อัปเดตเป็นเวอร์ชันล่าสุดจาก ProFTPD หรือปิดการใช้งานโมดูล mod_copy ตามคำแนะนำของผู้พัฒนา
รายละเอียดช่องโหว่และรูปแบบการโจมตี

รายละเอียดช่องโหว่ความปลอดภัย (Vulnerability Details)

รหัสช่องโหว่: CVE-2015-3306

กลไกของช่องโหว่อยู่ภายในโมดูล mod_copy ของซอฟต์แวร์ ProFTPD เวอร์ชัน 1.3.5 ซึ่งช่วยให้ผู้โจมตีภายนอกสามารถส่งคำสั่ง SITE CPFR (Copy From) และ SITE CPTO (Copy To) เพื่ออ่านและเขียนไฟล์ในตำแหน่งใดก็ได้บนระบบ (Arbitrary File Read/Write) โดยไม่ต้องผ่านกระบวนการตรวจสอบสิทธิ์ใดๆ

ผลกระทบต่อองค์กร (Impact)

  • Remote Code Execution / Data Exposure: ผู้โจมตีสามารถเข้าถึง อ่าน หรือแก้ไขไฟล์ระบบที่สำคัญ รวมถึงขโมยข้อมูลลับ ข้อมูลประจำตัว หรืออัปโหลดไฟล์อันตราย (เช่น Web Shell) เพื่อยึดครองระบบได้
  • ความรุนแรงสูงสุด (CVSS Score: 10.0): เวกเตอร์การโจมตีเป็นแบบเครือข่ายภายนอก (Network: AV:N) ใช้ความพยายามในการโจมตีต่ำ (AC:L) ไม่ต้องใช้สิทธิ์ผู้ใช้งาน (PR:N) และไม่มีการโต้ตอบจากผู้ใช้ (UI:N) ทำให้มีความเสี่ยงที่ระบบจะถูกเจาะเข้าถึงได้ง่ายดาย
ข้อเสนอแนะและมาตรการการปฏิบัติ (Recommendations & Workarounds)

แนวทางการปฏิบัติและบรรเทาผลกระทบ (Remediation & Mitigation)

  • อัปเดตแพตช์ความปลอดภัย: ดำเนินการอัปเดตซอฟต์แวร์ ProFTPD ให้เป็นเวอร์ชันล่าสุดที่ได้รับการแก้ไขช่องโหว่นี้แล้วจากผู้พัฒนา หรือปิดการใช้งานโมดูล mod_copy หากไม่จำเป็นต้องใช้งาน
  • ตรวจสอบการเปิดเผยข้อมูลบนอินเทอร์เน็ต: ประเมินความเสี่ยงและตรวจสอบสินทรัพย์ทั้งหมดขององค์กรที่เชื่อมต่อออกสู่สาธารณะ เพื่อป้องกันการตกเป็นเป้าหมายในการโจมตี
  • ปฏิบัติตามแนวทาง CISA BOD 26-04: ดำเนินการตามมาตรการบรรเทาผลกระทบ และกำหนดการจัดการอัปเดตความปลอดภัยตามความเสี่ยงที่กำหนด พร้อมทั้งจัดเก็บหลักฐานการตรวจวิเคราะห์ระบบ (Forensics Triage Requirements) หากพบร่องรอยการถูกโจมตี
// แหล่งข้อมูลอ้างอิง (References)
แชร์การแจ้งเตือนนี้:

การแจ้งเตือนภัยคุกคามที่เกี่ยวข้อง (Related Advisories)

CRITICAL 27 ต.ค. 2569

Oracle ออกแพตช์อัปเดตประจำเดือนตุลาคม 2026 (October 2026 CPU) แก้ไขช่องโหว่กว่า 1,200 รายการ

CRITICAL 9.327 ต.ค. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤตที่กำลังถูกโจมตีใน Adobe Commerce and Magento (CVE-2026-48356)

CRITICAL 26 ต.ค. 2569

แจ้งเตือน! ช่องโหว่ระดับ Critical ใน HPE ArubaOS เสี่ยงถูกสั่งรันคำสั่งและข้ามการยืนยันตัวตน

HIGH 23 ต.ค. 2569

🚨 แจ้งเตือน! พบช่องโหว่ใหม่ CVE-2026-115560 ใน PHP เสี่ยงถูกรันคำสั่งบนเว็บเซิร์ฟเวอร์