Podatność w serwerze CrushFTP 10 i 11 umożliwia nieuwierzytelnionemu atakującemu ominięcie mechanizmu logowania i przejęcie konta crushadmin. Błąd był aktywnie wykorzystywany w środowiskach produkcyjnych w marcu i kwietniu 2025 roku.
▸ Pokaż oryginał (EN)
CrushFTP 10 before 10.8.4 and 11 before 11.3.1 allows authentication bypass and takeover of the crushadmin account (unless a DMZ proxy instance is used), as exploited in the wild in March and April 2025, aka "Unauthenticated HTTP(S) port access." A race condition exists in the AWS4-HMAC (compatible with S3) authorization method of the HTTP component of the FTP server. The server first verifies the existence of the user by performing a call to login_user_pass() with no password requirement. This will authenticate the session through the HMAC verification process and up until the server checks for user verification once more. The vulnerability can be further stabilized, eliminating the need for successfully triggering a race condition, by sending a mangled AWS4-HMAC header. By providing only the username and a following slash (/), the server will successfully find a username, which triggers the successful anypass authentication process, but the server will fail to find the expected SignedHeaders entry, resulting in an index-out-of-bounds error that stops the code from reaching the session cleanup. Together, these issues make it trivial to authenticate as any known or guessable user (e.g., crushadmin), and can lead to a full compromise of the system by obtaining an administrative account.
W metodzie autoryzacji AWS4-HMAC (kompatybilnej z S3) serwer najpierw weryfikuje istnienie użytkownika poprzez wywołanie login_user_pass() bez sprawdzania hasła, co uwierzytelnia sesję przez proces weryfikacji HMAC. Istnieje okno czasowe (race condition), w którym sesja jest uznana za ważną, zanim serwer ponownie zweryfikuje użytkownika. Podatność można dodatkowo ustabilizować – bez konieczności wygrania race condition – poprzez wysłanie zniekształconego nagłówka AWS4-HMAC zawierającego wyłącznie nazwę użytkownika i ukośnik (/). Serwer odnajduje wówczas użytkownika i inicjuje proces uwierzytelnienia, lecz nie znajduje wymaganego wpisu SignedHeaders, co powoduje błąd index-out-of-bounds zatrzymujący kod przed czyszczeniem sesji, pozostawiając sesję uwierzytelnioną.
Atakujący może uwierzytelnić się jako dowolny znany lub możliwy do odgadnięcia użytkownik, w tym crushadmin, co prowadzi do pełnego przejęcia serwera CrushFTP i wszystkich zarządzanych przez niego danych.
Należy niezwłocznie zaktualizować CrushFTP do wersji 10.8.4 lub nowszej (dla gałęzi 10) albo do wersji 11.3.1 lub nowszej (dla gałęzi 11). Jako środek tymczasowy można wdrożyć instancję proxy w trybie DMZ, która zgodnie z opisem producenta blokuje możliwość wykorzystania tej podatności.
CrushFTP w wersji 10 przed 10.8.4 oraz CrushFTP w wersji 11 przed 11.3.1. Podatność nie dotyczy instancji chronionych przez proxy w trybie DMZ.
Podatność była aktywnie exploitowana w środowiskach produkcyjnych w marcu i kwietniu 2025 roku, co potwierdzają zarówno producent, jak i wpis CISA KEV. Znana jest również pod nieoficjalnym oznaczeniem CVE-2025-2825. Referencje wskazują na dostępność publicznych analiz technicznych oraz narzędzi badawczych (Outpost24, ProjectDiscovery, Rapid7).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HCrushftp
APPCrushftp10.0.0 – 10.8.4 (bez)11.0.0 – 11.3.1 (bez)
CISA KEV — szczegółyi
- Dostawcai
- CrushFTP
- Produkti
- CrushFTP
- Data dodania do KEVi
- 7 kwietnia 2025
- Termin remediation (USA)i
- 28 kwietnia 2025(po terminie)
- Ransomwarei
- Aktywne kampanie ransomware używają tej podatności
Zastosuj mitygacje zgodnie z instrukcjami producenta, postępuj zgodnie z wytycznymi BOD 22-01 dla usług chmurowych lub zaprzestań użytkowania produktu, jeśli mitygacje są niedostępne.
▸ Pokaż oryginał (EN)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CrushFTP zawiera lukę w uwierzytelnianiu w nagłówku autoryzacji HTTP, która pozwala zdalnemu atakującemu bez uwierzytelnienia na zalogowanie się do dowolnego znanego lub możliwego do odgadnięcia konta użytkownika (np. crushadmin), potencjalnie prowadząc do całkowitego przejęcia systemu.
▸ Pokaż oryginał (EN)
CrushFTP contains an authentication bypass vulnerability in the HTTP authorization header that allows a remote unauthenticated attacker to authenticate to any known or guessable user account (e.g., crushadmin), potentially leading to a full compromise.
Powiązane podatności
CrushFTP – błąd walidacji AS2 umożliwia zdalny dostęp administracyjny
Server Side Template Injection w CrushFTP — RCE bez uwierzytelnienia
CrushFTP: Przejęcie konta przez błąd w resetowaniu hasła
CrushFTP – krytyczna podatność na manipulację atrybutami obiektów (przed wersją 10.5.1)
CrushFTP 8.x before 8.2.0 has a serialization vulnerability.