**CVE-2025-31161** ist eine kritische Sicherheitslücke zur Authentifizierungsumgehung in **CrushFTP**, einer verbreiteten Managed File Transfer (MFT)-Lösung.

Ein nicht authentifizierter entfernter Angreifer kann sich als jeder bekannte Benutzer (einschließlich des Standard-Administratorkontos crushadmin) ausgeben, indem er einen Fehler in der Verarbeitung des AWS4-HMAC-SHA256-Authorisierungsheaders ausnutzt.

Diese Schwachstelle wurde aktiv in freier Wildbahn ausgenutzt und in den CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen.

---

📊 Details zur Schwachstelle

---

🧨 Ursache

Die Schwachstelle beruht auf einer Race-Condition und fehlerhafter Analyse des AWS4-HMAC-Authorisierungsmechanismus. Durch Senden eines speziell präparierten Headers mit einem bekannten Benutzernamen (z. B. crushadmin/) können Angreifer die Authentifizierung umgehen und sich als beliebiger Benutzer ausgeben.

---

🛡️ Abhilfemaßnahmen

• Sofort aktualisieren auf:
  • CrushFTP 10.8.4 oder neuer
  • CrushFTP 11.3.1 oder neuer
• Verwenden Sie die DMZ-Proxy-Instanz als vorübergehende Maßnahme, falls das Update verzögert wird.
• Schränken Sie die öffentliche Erreichbarkeit der CrushFTP-HTTP/HTTPS-Ports (8080 / 8443) ein.
• Überwachen Sie Logs auf verdächtige Authentifizierungsversuche.

---

📸 Demo

---

📚 Referenzen

• Offizielles CrushFTP-Update
• NVD-Detail
• CISA-KEV-Katalog
• Huntress-Analyse
• Rapid7-Analyse

---

⚠️ Rechtlicher Hinweis

Dieses Repository wird ausschließlich zu Bildungs- und Sicherheitsforschungszwecken bereitgestellt.
Die Informationen sollen Organisationen helfen, den Schweregrad dieser Schwachstelle zu verstehen und rechtzeitig Gegenmaßnahmen zu ergreifen.

Die unbefugte Ausnutzung gegen Systeme, die Ihnen nicht gehören, ist illegal und unethisch.

---