CrushFTP kihasználása
A CrushFTP-ben egy kritikus hitelesítési megkerülési sebezhetőséget azonosítottak, amely lehetővé teszi a támadók számára, hogy jogosulatlan hozzáférést szerezzenek az érintett rendszerekhez. Ezt a sebezhetőséget CVE-2025-31161 azonosítóval látták el, és a CVSSv3.1 skálán 9.8-as súlyossági pontszámot kapott.
A hiba az HTTP Authorization fejléc kezelésében található, különösen az AWS4-HMAC-SHA256 hitelesítési támogatás implementációjában. A támadók ezt kihasználva képesek megkerülni a hitelesítést, és teljes hozzáférést szerezni a fájlátviteli szerverhez.
Az Outpost24 kutatói 2025. március 13-án értesítették a MITRE-t a sebezhetőségről, és egy 90 napos nem nyilvános időszakot egyeztettek a CrushFTP-vel, hogy elegendő idő álljon rendelkezésre a javítások elkészítésére és telepítésére. Azonban más felek együttműködés nélkül, külön CVE-azonosító (CVE-2025-2825) alatt hozták nyilvánosságra a sebezhetőséget, ami megnehezítette a koordinált válaszlépéseket.
A sebezhetőséget aktívan kihasználják, több mint 1 500 olyan CrushFTP példányt azonosítottak, amelyek ki vannak téve a támadásoknak. A fájlátviteli termékek, mint a CrushFTP, gyakran célpontjai a zsarolóvírus-csoportoknak, így a fenyegetés különösen aggasztó.
A sebezhetőség a CrushFTP 10-es és 11-es verzióit érinti. A fejlesztők kiadták a szükséges javításokat; a felhasználóknak azonnal frissíteniük kell a szoftvert a 10.8.4 vagy 11.3.1 verzióra, vagy újabbra. Ha a frissítés azonnal nem lehetséges, átmeneti megoldásként a DMZ opció engedélyezése javasolt.
