CrushFTP 10.0 Docker-Bereitstellung (anfällig für CVE-2024-4040)

Dieses Repository enthält ein Dockerfile, um ein Docker-Image zu erstellen und einen Linux-Container mit einem CrushFTP-Server bereitzustellen, der für die CrushFTP VFS Sandbox Escape Vulnerability (CVE-2024-4040) anfällig ist.

⚠️ Haftungsausschluss Dieses Repository dient ausschließlich Bildungs- und Sicherheitsforschungszwecken. Das Docker-Image stellt eine Version von CrushFTP bereit, die bekanntermaßen anfällig ist. Setzen Sie es nicht dem Internet aus und verwenden Sie es nicht in Produktionsumgebungen. Der Autor ist nicht mit CrushFTP verbunden und übernimmt keine Verantwortung für Missbrauch.

Wie stellt man den anfälligen CrushFTP-Server bereit?

1. Das Image aus dem Dockerfile bauen

docker build -t cve-2024-4040-crushftp10 .

2. Den Container aus dem Image erstellen und ausführen

docker run -dit -p 22:22 -p 21:21 -p 8080:8080 -p 9090:9090 -p 443:443 --name CVE-2024-4040-CrushFTP10 cve-2024-4040-crushftp10

Der Dienst sollte nun auf den Ports 21, 22, 443, 8080 und 9090 laufen.

Wie lässt sich die Schwachstelle ausnutzen?

Ich empfehle, den Proof of Concept CVE-2024-4040-SSTI-LFI-PoC von Stuub auszuprobieren.