Podatności CrushFTP
4 znanych podatności CVE w CrushFTP, przetłumaczonych i ocenionych.
- CVE-2025-54309KrytyczneAktywnie exploitowane
CrushFTP 10 przed wersją 10.8.5 oraz 11 przed wersją 11.3.4_23, gdy funkcja proxy DMZ nie jest używana, nieprawidłowo obsługuje walidację AS2, co pozwala zdalnym atakującym uzyskać dostęp administracyjny przez HTTPS. Luka była wykorzystywana w środowisku naturalnym w lipcu 2025 roku.
- CVE-2025-31161KrytyczneAktywnie exploitowane
CrushFTP 10 przed 10.8.4 i 11 przed 11.3.1 umożliwia obejście uwierzytelniania i przejęcie konta crushadmin (chyba że używana jest instancja DMZ proxy), co było wykorzystywane w środowisku naturalnym w marcu i kwietniu 2025. Podatność wynika z wyścigu w metodzie autoryzacji AWS4-HMAC (zgodnej z S3) w komponencie HTTP serwera FTP. Serwer najpierw weryfikuje istnienie użytkownika przez wywołanie login_user_pass() bez wymogu hasła, co uwierzytelnia sesję przez proces weryfikacji HMAC. Dodatkowo, wysyłając zniekształcony nagłówek AWS4-HMAC, można ustabilizować atak, eliminując potrzebę wygrania wyścigu, co prowadzi do błędu poza zakresem i zatrzymania kodu przed sprzątaniem sesji.
- CVE-2017-14035Krytyczne
CrushFTP w wersjach 8.x przed 8.2.0 zawiera podatność na serializację.
- CVE-2015-20129Wysokie
CrushFTP przed wersją 7.3.0 zawiera podatność na cross-site request forgery (CSRF), która pozwala atakującym na wykonywanie działań administracyjnych, ponieważ ochrona CSRF jest domyślnie wyłączona. Atakujący mogą zwabić uwierzytelnionego administratora na złośliwą stronę, która wysyła żądania POST do poleceń takich jak setUserItem, tworząc użytkowników z dostępem root lub zmieniając konfigurację serwera.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS