CVE-2025-31161
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 99.9%
- CWE
- CWE-305
- KEV Durumu
- Evet
Yayım tarihi: 3 Nisan 2025 · CISA KEV son iyileştirme tarihi: 28 Nisan 2025
Etkilenen: crushftp crushftp
CrushFTP 10.8.4 ve 11.3.1 sürümlerinden önceki 10 ve 11 sürümleri, DMZ proxy örneği kullanılmadığı sürece, kimlik doğrulama atlatma ve crushadmin hesabının ele geçirilmesine izin verir, ki bu Mart ve Nisan 2025'te vahşette kullanılmıştır, yani "Kimlik Doğrulamasız HTTP(S) Port Erişimi". FTP sunucusunun HTTP bileşeninin AWS4-HMAC (S3 ile uyumlu) yetkilendirme yönteminde bir yarış durumu vardır. Sunucu, önce login_user_pass() çağrısını parola gereksinimi olmadan gerçekleştirerek kullanıcının varlığını doğrular. Bu, HMAC doğrulama işlemi aracılığıyla oturumu kimlik doğrular ve sunucu bir sonraki kez kullanıcı doğrulaması için kontrol yapana kadar devam eder. Zafiyet, başarılı bir şekilde yarış durumunu tetikleme ihtiyacını ortadan kaldırarak, değiştirilmiş bir AWS4-HMAC başlığı göndererek daha da stabilize edilebilir. Sadece kullanıcı adı ve ardından bir slash (/) sağlayarak, sunucu başarılı bir şekilde bir kullanıcı adı bulur, bu da başarılı anypass kimlik doğrulama sürecini tetikler, ancak sunucu beklenen SignedHeaders girişini bulamaz, bu da kodun oturum temizleme bölümüne ulaşmasını engelleyen bir dizin dışı hata oluşmasına neden olur. Bu sorunlar birlikte, bilinen veya tahmin edilebilen herhangi bir kullanıcı olarak (örneğin crushadmin) kimlik doğrulamasını kolaylaştırır ve yönetici hesabını elde ederek sistemin tam olarak tehlikeye atılmasına neden olabilir.
Orijinal açıklama (İngilizce)
CrushFTP 10 before 10.8.4 and 11 before 11.3.1 allows authentication bypass and takeover of the crushadmin account (unless a DMZ proxy instance is used), as exploited in the wild in March and April 2025, aka "Unauthenticated HTTP(S) port access." A race condition exists in the AWS4-HMAC (compatible with S3) authorization method of the HTTP component of the FTP server. The server first verifies the existence of the user by performing a call to login_user_pass() with no password requirement. This will authenticate the session through the HMAC verification process and up until the server checks for user verification once more. The vulnerability can be further stabilized, eliminating the need for successfully triggering a race condition, by sending a mangled AWS4-HMAC header. By providing only the username and a following slash (/), the server will successfully find a username, which triggers the successful anypass authentication process, but the server will fail to find the expected SignedHeaders entry, resulting in an index-out-of-bounds error that stops the code from reaching the session cleanup. Together, these issues make it trivial to authenticate as any known or guessable user (e.g., crushadmin), and can lead to a full compromise of the system by obtaining an administrative account.
Referanslar
- https://crushftp.com/crush11wiki/Wiki.jsp?page=Update#section-Update-VulnerabilityInfo
- https://outpost24.com/blog/crushftp-auth-bypass-vulnerability/
- https://attackerkb.com/topics/k0EgiL9Psz/cve-2025-2825/rapid7-analysis
- https://projectdiscovery.io/blog/crushftp-authentication-bypass
- https://www.darkreading.com/vulnerabilities-threats/disclosure-drama-clouds-crushftp-vulnerability-exploitation
- https://www.huntress.com/blog/crushftp-cve-2025-31161-auth-bypass-and-post-exploitation
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.