rufflabs/crushftp_cve-2025-31161ثنائي CrushFTP 10.8.0 المُعد مسبقًا والمعرض للخطر لاختبار الاختراق المصرح به لـ CVE-2025-31161، وهو ثغرة تجاوز المصادقة بدون مصادقة. يتضمن التطبيق الكامل مع واجهة ويب وتعليمات الإعداد لمختبرات أبحاث الأمن.
بناء CrushFTP 10.8.0 معد مسبقًا لاختبار الاختراق المصرح به لـ CVE-2025-31161.
[!CAUTION] هذا بناء تطبيق ضعيف عن قصد. للاختبار الأمني المصرح به والبحث فقط. لا تنشره على أنظمة الإنتاج أو تعرضه لشبكات غير موثوقة.
يحتوي الأصول المُصدرة CrushFTP10_10.8.0_4.zip على التطبيق الكامل لبناء CrushFTP 10.8.0
build 4 المستخرج من صورة Docker
netlah/crushftp:10.8.0_4.
| الملف/الدليل | الوصف |
|---|
CrushFTP.jar | التطبيق الرئيسي (يحتوي على ServerSessionHTTP.java الضعيف) |
CrushFTP.exe | غلاف خدمة Windows |
plugins/ | مكتبات BouncyCastle و Derby و SSH وغيرها من مكتبات وقت التشغيل |
WebInterface/ | واجهة الويب و CrushTunnel.jar |
users/ | قالب دليل المستخدم الافتراضي |
Java غير مضمنة. دور Ludus المصاحب (rufflabs/ludus_crushftp_cve-2025-31161) يتولى توفير JDK تلقائيًا.
المصدر: Docker Hub netlah/crushftp:10.8.0_4
الصورة: sha256:d6eca9c6a3a9d09debde37590ce91b3b1f8bb7587368639cc847487515e67d03
تاريخ البناء: 2024-06-27 01:52:22 UTC
الإصدار: CrushFTP 10.8.0 build 4
Java: Temurin JDK 17.0.11+9 (وقت البناء؛ غير مرفق)
| الحقل | القيمة |
|---|---|
| CVE | CVE-2025-31161 |
| CVSS | 9.8 حرجة |
| CWE | CWE-305 |
| المتأثر | CrushFTP 10.0.0–10.8.3, 11.0.0–11.3.0 |
| المُصحَّح | 10.8.4, 11.3.1 |
| الناقل | تجاوز المصادقة غير المصادق عليه عبر رأس Authorization غير صحيح AWS4-HMAC-SHA256 |
إذا لم تكن تستخدم Ludus، يمكنك الإعداد يدويًا:
# تنزيل الأصول المُصدرة
wget https://github.com/rufflabs/crushftp_cve-2025-31161/releases/download/v10.8.0_4/CrushFTP10_10.8.0_4.zip
# فك الضغط
unzip CrushFTP10_10.8.0_4.zip -d /opt/crushftp
cd /opt/crushftp
# إنشاء مستخدم مسؤول
java -jar CrushFTP.jar -a crushadmin Password123
# البدء
java -Xmx512m -jar CrushFTP.jar -d
يتطلب JDK 17+. واجهة الويب تستمع على :8080 (HTTP) و :443 (HTTPS).
برنامج CrushFTP هو برنامج احتكاري مملوك لشركة CrushFTP LLC. يستضيف هذا المستودع بناءً محددًا لأغراض البحث الأمني بموجب الاستخدام العادل. لا يُمنح أي ترخيص للاستخدام الإنتاجي لـ CrushFTP. قم بزيارة crushftp.com للتراخيص التجارية.