**CVE-2025-31161** es una vulnerabilidad crítica de omisión de autenticación en **CrushFTP**, una popular solución de Transferencia Gestionada de Archivos (MFT).

Un atacante remoto no autenticado puede suplantar a cualquier usuario conocido (incluyendo la cuenta de administrador predeterminada crushadmin) explotando una falla en el procesamiento del encabezado de autorización AWS4-HMAC-SHA256.

Esta vulnerabilidad ha sido explotada activamente en la naturaleza y fue añadida al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA.

---

📊 Detalles de la Vulnerabilidad

---

🧨 Causa Raíz

La vulnerabilidad proviene de una condición de carrera y un análisis incorrecto en el mecanismo de autorización AWS4-HMAC. Al enviar un encabezado especialmente manipulado con un nombre de usuario conocido (por ejemplo, crushadmin/), los atacantes pueden omitir la autenticación y suplantar a cualquier usuario.

---

🛡️ Mitigación

• Actualice inmediatamente a:
  • CrushFTP 10.8.4 o superior
  • CrushFTP 11.3.1 o superior
• Utilice la instancia proxy DMZ como mitigación temporal si la actualización se retrasa.
• Restrinja la exposición pública de los puertos HTTP/HTTPS de CrushFTP (8080 / 8443).
• Monitoree los registros en busca de intentos de autenticación sospechosos.

---

📸 Demostración

---

📚 Referencias

• Actualización Oficial de CrushFTP
• Detalle NVD
• Catálogo KEV de CISA
• Análisis de Huntress
• Análisis de Rapid7

---

⚠️ Aviso Legal

Este repositorio se proporciona solo con fines educativos y de investigación de seguridad.
La información está destinada a ayudar a las organizaciones a comprender la gravedad de esta vulnerabilidad y aplicar mitigaciones oportunas.

La explotación no autorizada contra sistemas que no posee es ilegal y poco ética.

---