Ação da CISA e inclusão de vulnerabilidades
Na quinta-feira, a Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos (CISA) anunciou a inclusão de cinco vulnerabilidades ao seu catálogo Known Exploited Vulnerabilities (KEV). A medida segue a constatação de que o grupo de ameaças vinculado à China, identificado como Flax Typhoon, tem explorado essas falhas em campanhas recentes. Entre as vulnerabilidades listadas, destaca‑se CVE-2015-3306, classificada com pontuação máxima de 10.0 no sistema CVSS, por permitir controle de acesso inadequado no servidor FTP ProFTPD.
Contexto e histórico do ator
Flax Typhoon tem sido associado a operações de espionagem cibernética patrocinadas por entidades governamentais chinesas. O grupo costuma direcionar ataques a infraestruturas críticas e a organizações governamentais, aproveitando vulnerabilidades conhecidas para obter acesso não autorizado. A inclusão das falhas no catálogo KEV indica que a CISA reconhece a exploração ativa dessas vulnerabilidades, reforçando a necessidade de mitigação imediata. O catálogo KEV, mantido pela agência, serve como referência para que organizações públicas e privadas priorizem a correção de falhas que já foram confirmadas como utilizadas por agentes maliciosos.
Impacto nas agências federais
A decisão de estabelecer o dia 11 de outubro como prazo final para a remediação tem como objetivo limitar a janela de exposição das redes governamentais. Caso as agências não implementem as correções dentro desse período, permanecem vulneráveis a possíveis invasões que podem comprometer dados sensíveis, interromper serviços essenciais ou permitir a instalação de softwares de espionagem. Embora a CISA não tenha divulgado números exatos de sistemas afetados, a gravidade da pontuação CVSS 10.0 indica risco elevado de comprometimento total do servidor FTP, o que pode facilitar a movimentação lateral dentro de redes internas.
Detalhes técnicos da vulnerabilidade
O CVE-2015-3306 refere‑se a uma falha de controle de acesso no ProFTPD, um servidor FTP amplamente utilizado em ambientes Linux. A vulnerabilidade permite que um atacante autenticado ou não autenticado contorne as restrições de permissão, obtendo acesso a diretórios e arquivos que deveriam estar protegidos. O vetor de ataque costuma envolver a manipulação de comandos FTP específicos que exploram a lógica de verificação de permissões. Versões do ProFTPD lançadas antes de 1.3.5c são particularmente suscetíveis, embora a documentação oficial recomende a atualização para versões posteriores que corrigem o problema. A exploração bem‑sucedida pode levar à execução de código arbitrário, ao roubo de credenciais e à instalação de backdoors.
Perspectivas e recomendações
Até o momento, a CISA orienta as agências federais a aplicar patches de segurança fornecidos pelos mantenedores do ProFTPD, revisar as configurações de controle de acesso e monitorar logs de atividade FTP em busca de padrões suspeitos. Organizações fora do âmbito federal também são encorajadas a adotar as mesmas práticas, visto que a vulnerabilidade não se restringe a ambientes governamentais. A agência continuará acompanhando a evolução das ameaças associadas ao Flax Typhoon e atualizará o catálogo KEV conforme novas informações surgirem. Fonte: The Hacker News.