Podatności CrushFTP
3 znanych podatności CVE w CrushFTP, przetłumaczonych i ocenionych.
- CVE-2025-54309KrytyczneAktywnie exploitowane
CrushFTP 10 przed wersją 10.8.5 oraz 11 przed wersją 11.3.4_23, gdy funkcja proxy DMZ nie jest używana, nieprawidłowo obsługuje walidację AS2, co pozwala zdalnym atakującym uzyskać dostęp administracyjny przez HTTPS. Luka była wykorzystywana w środowisku naturalnym w lipcu 2025 roku.
- CVE-2025-31161KrytyczneAktywnie exploitowane
CrushFTP 10 przed 10.8.4 i 11 przed 11.3.1 umożliwia obejście uwierzytelniania i przejęcie konta crushadmin (chyba że używana jest instancja DMZ proxy), co było wykorzystywane w środowisku naturalnym w marcu i kwietniu 2025. Podatność wynika z wyścigu w metodzie autoryzacji AWS4-HMAC (zgodnej z S3) w komponencie HTTP serwera FTP. Serwer najpierw weryfikuje istnienie użytkownika przez wywołanie login_user_pass() bez wymogu hasła, co uwierzytelnia sesję przez proces weryfikacji HMAC. Dodatkowo, wysyłając zniekształcony nagłówek AWS4-HMAC, można ustabilizować atak, eliminując potrzebę wygrania wyścigu, co prowadzi do błędu poza zakresem i zatrzymania kodu przed sprzątaniem sesji.
- CVE-2017-14035Krytyczne
CrushFTP w wersjach 8.x przed 8.2.0 zawiera podatność na serializację.