CVE-2025-31161

Résumé

CrushFTP 10 avant 10.8.4 et 11 avant 11.3.1 permet un contournement de l'authentification et la prise de contrôle du compte crushadmin (sauf si une instance de proxy DMZ est utilisée), comme exploité dans la nature en mars et avril 2025, alias « Unauthenticated HTTP(S) port access ». Une condition de course existe dans la méthode d'autorisation AWS4-HMAC (compatible S3) du composant HTTP du serveur FTP. Le serveur vérifie d'abord l'existence de l'utilisateur en effectuant un appel à login_user_pass() sans exigence de mot de passe. Cela authentifiera la session via le processus de vérification HMAC et jusqu'à ce que le serveur vérifie à nouveau la vérification de l'utilisateur. La vulnérabilité peut être encore stabilisée, éliminant le besoin de déclencher avec succès une condition de course, en envoyant un en-tête AWS4-HMAC corrompu. En fournissant uniquement le nom d'utilisateur suivi d'une barre oblique (/), le serveur trouvera avec succès un nom d'utilisateur, ce qui déclenche le processus d'authentification anypass réussi, mais le serveur ne parviendra pas à trouver l'entrée SignedHeaders attendue, entraînant une erreur d'index hors limites qui empêche le code d'atteindre le nettoyage de session. Ensemble, ces problèmes rendent trivial de s'authentifier en tant que n'importe quel utilisateur connu ou devinable (par exemple, crushadmin), et peuvent conduire à un compromis complet du système en obtenant un compte administratif.

Sources