Aktywnie wykorzystywana w atakach
CrushFTP Unprotected Alternate Channel Vulnerability
CrushFTP - CrushFTP · Figuruje w katalogu CISA KEV od 2025-07-22. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-54309
KrytyczneCVSS 9.0KEVStreszczenie
CrushFTP 10 przed wersją 10.8.5 oraz 11 przed wersją 11.3.4_23, gdy funkcja proxy DMZ nie jest używana, nieprawidłowo obsługuje walidację AS2, co pozwala zdalnym atakującym uzyskać dostęp administracyjny przez HTTPS. Luka była wykorzystywana w środowisku naturalnym w lipcu 2025 roku.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad serwerem CrushFTP, co może prowadzić do naruszenia poufności i integralności danych oraz przerwania działania usług.
Rekomendacja
Zaleca się natychmiastową aktualizację CrushFTP do wersji 10.8.5 lub 11.3.4_23 (lub nowszej) oraz włączenie funkcji proxy DMZ, jeśli to możliwe.
Inne podatności w CrushFTP
Zobacz wszystkie- CVE-2025-31161KrytyczneAktywnie exploitowane
CrushFTP 10 przed 10.8.4 i 11 przed 11.3.1 umożliwia obejście uwierzytelniania i przejęcie konta crushadmin (chyba że używana jest instancja DMZ proxy), co było wykorzystywane w środowisku naturalnym w marcu i kwietniu 2025. Podatność wynika z wyścigu w metodzie autoryzacji AWS4-HMAC (zgodnej z S3) w komponencie HTTP serwera FTP. Serwer najpierw weryfikuje istnienie użytkownika przez wywołanie login_user_pass() bez wymogu hasła, co uwierzytelnia sesję przez proces weryfikacji HMAC. Dodatkowo, wysyłając zniekształcony nagłówek AWS4-HMAC, można ustabilizować atak, eliminując potrzebę wygrania wyścigu, co prowadzi do błędu poza zakresem i zatrzymania kodu przed sprzątaniem sesji.
- CVE-2017-14035Krytyczne
CrushFTP w wersjach 8.x przed 8.2.0 zawiera podatność na serializację.
- CVE-2015-20129Wysokie
CrushFTP przed wersją 7.3.0 zawiera podatność na cross-site request forgery (CSRF), która pozwala atakującym na wykonywanie działań administracyjnych, ponieważ ochrona CSRF jest domyślnie wyłączona. Atakujący mogą zwabić uwierzytelnionego administratora na złośliwą stronę, która wysyła żądania POST do poleceń takich jak setUserItem, tworząc użytkowników z dostępem root lub zmieniając konfigurację serwera.
Oryginalny opis (angielski, źródło NVD)
CrushFTP 10 before 10.8.5 and 11 before 11.3.4_23, when the DMZ proxy feature is not used, mishandles AS2 validation and consequently allows remote attackers to obtain admin access via HTTPS, as exploited in the wild in July 2025.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS