CVE-2025-54309
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 9
- EPSS
- —
- CWE
- CWE-420
- KEV Durumu
- Evet
Yayım tarihi: 18 Temmuz 2025 · CISA KEV son iyileştirme tarihi: 12 Ağustos 2025
Etkilenen: crushftp crushftp
CrushFTP 10'ın 10.8.5 öncesi sürümleri ve 11’in 11.3.4_23 öncesi sürümleri, DMZ proxy özelliğinin kullanılmadığı durumlarda, AS2 doğrulamasını yanlış şekilde işler ve sonuç olarak uzaktan saldırganların Temmuz 2025’te doğada istismar edildiği gibi HTTPS üzerinden yönetici erişimine izin verir.
Orijinal açıklama (İngilizce)
CrushFTP 10 before 10.8.5 and 11 before 11.3.4_23, when the DMZ proxy feature is not used, mishandles AS2 validation and consequently allows remote attackers to obtain admin access via HTTPS, as exploited in the wild in July 2025.
Referanslar
- https://www.bleepingcomputer.com/news/security/crushftp-zero-day-exploited-in-attacks-to-gain-admin-access-on-servers/
- https://www.crushftp.com/crush11wiki/Wiki.jsp?page=CompromiseJuly2025
- https://www.rapid7.com/blog/post/crushftp-zero-day-exploited-in-the-wild/
- https://www.vicarius.io/vsociety/posts/cve-2025-54309-detect-crushftp-vulnerability
- https://www.vicarius.io/vsociety/posts/cve-2025-54309-mitigate-crushftp-vulnerability
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-54309
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.