CVE-2015-20129
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
CrushFTP przed wersją 7.3.0 zawiera podatność na cross-site request forgery (CSRF), która pozwala atakującym na wykonywanie działań administracyjnych, ponieważ ochrona CSRF jest domyślnie wyłączona. Atakujący mogą zwabić uwierzytelnionego administratora na złośliwą stronę, która wysyła żądania POST do poleceń takich jak setUserItem, tworząc użytkowników z dostępem root lub zmieniając konfigurację serwera.
Ocena ryzyka
Atakujący może wykorzystać sesję administratora do utworzenia konta z uprawnieniami root lub zmiany konfiguracji serwera, co prowadzi do pełnego przejęcia systemu. Ryzyko jest krytyczne, ponieważ wymaga jedynie nakłonienia administratora do odwiedzenia złośliwej strony.
Rekomendacja
Zaktualizuj CrushFTP do wersji 7.3.0 lub nowszej. Do czasu aktualizacji włącz ochronę CSRF, jeśli jest dostępna, i ogranicz dostęp administracyjny do zaufanych sieci.
Inne podatności w CrushFTP
Zobacz wszystkie- CVE-2025-54309KrytyczneAktywnie exploitowane
CrushFTP 10 przed wersją 10.8.5 oraz 11 przed wersją 11.3.4_23, gdy funkcja proxy DMZ nie jest używana, nieprawidłowo obsługuje walidację AS2, co pozwala zdalnym atakującym uzyskać dostęp administracyjny przez HTTPS. Luka była wykorzystywana w środowisku naturalnym w lipcu 2025 roku.
- CVE-2025-31161KrytyczneAktywnie exploitowane
CrushFTP 10 przed 10.8.4 i 11 przed 11.3.1 umożliwia obejście uwierzytelniania i przejęcie konta crushadmin (chyba że używana jest instancja DMZ proxy), co było wykorzystywane w środowisku naturalnym w marcu i kwietniu 2025. Podatność wynika z wyścigu w metodzie autoryzacji AWS4-HMAC (zgodnej z S3) w komponencie HTTP serwera FTP. Serwer najpierw weryfikuje istnienie użytkownika przez wywołanie login_user_pass() bez wymogu hasła, co uwierzytelnia sesję przez proces weryfikacji HMAC. Dodatkowo, wysyłając zniekształcony nagłówek AWS4-HMAC, można ustabilizować atak, eliminując potrzebę wygrania wyścigu, co prowadzi do błędu poza zakresem i zatrzymania kodu przed sprzątaniem sesji.
- CVE-2017-14035Krytyczne
CrushFTP w wersjach 8.x przed 8.2.0 zawiera podatność na serializację.
Oryginalny opis (angielski, źródło NVD)
CrushFTP before 7.3.0 contains a cross-site request forgery vulnerability that allows attackers to perform administrative actions because CSRF protection is disabled by default. Attackers can lure an authenticated administrator to a malicious page that submits POST requests to commands like setUserItem, creating root-access users or changing server configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS