CVE-2025-31161

Zusammenfassung

CrushFTP 10 vor 10.8.4 und 11 vor 11.3.1 ermöglicht die Umgehung der Authentifizierung und die Übernahme des crushadmin-Kontos (sofern keine DMZ-Proxy-Instanz verwendet wird), wie sie im März und April 2025 in freier Wildbahn ausgenutzt wurde, auch bekannt als „Unauthenticated HTTP(S) port access“. Eine Race-Condition existiert in der AWS4-HMAC-Autorisierungsmethode (kompatibel mit S3) der HTTP-Komponente des FTP-Servers. Der Server überprüft zunächst die Existenz des Benutzers, indem er einen Aufruf von login_user_pass() ohne Passwortanforderung durchführt. Dies authentifiziert die Sitzung über den HMAC-Verifizierungsprozess und zwar bis zu dem Punkt, an dem der Server erneut eine Benutzerüberprüfung durchführt. Die Schwachstelle kann weiter stabilisiert werden, sodass die Notwendigkeit entfällt, eine Race-Condition erfolgreich auszulösen, indem ein verstümmelter AWS4-HMAC-Header gesendet wird. Indem nur der Benutzername und ein folgender Schrägstrich (/) angegeben werden, findet der Server erfolgreich einen Benutzernamen, was den erfolgreichen anypass-Authentifizierungsprozess auslöst, aber der Server findet den erwarteten SignedHeaders-Eintrag nicht, was zu einem Index-out-of-Bounds-Fehler führt, der verhindert, dass der Code die Sitzungsbereinigung erreicht. Zusammen machen diese Probleme es trivial, sich als jeder bekannte oder erratbare Benutzer (z. B. crushadmin) zu authentifizieren, und können zu einer vollständigen Kompromittierung des Systems führen, indem ein Administratorkonto erlangt wird.

Quellen