CVE-2025-54309 CrushFTP Authentication-Bypass

Übersicht

CVE-2025-54309 ist eine Authentifizierungs-Bypass-Schwachstelle in CrushFTP, die die Erstellung nicht autorisierter administrativer Benutzer durch Manipulation von AS2-Headern ermöglicht.

Technische Details

Ort der Schwachstelle

• Datei: crushftp/server/ServerSessionHTTP.java
• Methode: loginCheckHeaderAuth() (Zeile 2285)
• Grundursache: Fehlerhafte AS2-Header-Validierungslogik

Anfälliger Code

} else if (this.headerLookup.containsKey("as2-to".toUpperCase())) {
    if (this.headerLookup.getProperty("as2-to".toUpperCase()).trim().indexOf("-_-") < 0 && !ServerStatus.BG("blank_passwords")) {
        return;  // Authentication bypass occurs here
    }

Ausnutzungsmethode

1. POST-Anfrage an /WebInterface/function/ mit leerem AS2-To-Header senden
2. Den setUserItem-Befehl in den Anforderungstext einfügen
3. Der Server umgeht die Authentifizierung, da das -_--Trennzeichen im AS2-To-Header fehlt
4. Der administrative Benutzer wird ohne ordnungsgemäße Authentifizierung erstellt

Betroffene Versionen

• CrushFTP 10.x < 10.8.5
• CrushFTP 11.x < 11.3.4_23

Shodan-Abfrage

• http.server_hash:525710691,-1319113083,2114359341,1401270286,-608770667
• http.favicon.hash:-1022206565
• "/WebInterface/w3c/p3p.xml"

Google-Dorks

• intitle:"CrushFTP WebInterface"
• inurl:"/WebInterface/login.html"

Verwendung

python3 cve_2025_54309.py <target_url> [-u username] [-p password] [-v]

Beispiele

# Basic exploitation
python3 cve_2025_54309.py http://crushftp.example.com:8080

# Custom credentials
python3 cve_2025_54309.py https://crushftp.example.com -u kali -p kali1

# With login verification
python3 cve_2025_54309.py http://crushftp.example.com -v

Anforderungen

• Python 3.x
• requests-Bibliothek

Haftungsausschluss

Dieses Tool ist ausschließlich für autorisierte Sicherheitstests bestimmt. Die Benutzer sind für die Einhaltung der geltenden Gesetze und Vorschriften verantwortlich.