CVE-2025-31161

सारांश

CrushFTP 10 (10.8.4 से पहले) और 11 (11.3.1 से पहले) प्रमाणीकरण बाईपास और crushadmin खाते पर कब्ज़ा करने की अनुमति देता है (जब तक कि DMZ प्रॉक्सी इंस्टेंस का उपयोग न किया जाए), जिसका मार्च और अप्रैल 2025 में वास्तविक दुनिया में शोषण किया गया, जिसे "अनप्रमाणित HTTP(S) पोर्ट एक्सेस" के रूप में जाना जाता है। FTP सर्वर के HTTP घटक की AWS4-HMAC (S3 के साथ संगत) प्रमाणीकरण विधि में एक रेस कंडीशन मौजूद है। सर्वर पहले बिना पासवर्ड आवश्यकता के login_user_pass() कॉल करके उपयोगकर्ता के अस्तित्व की पुष्टि करता है। यह सत्र को HMAC सत्यापन प्रक्रिया के माध्यम से प्रमाणित करेगा और तब तक जारी रहेगा जब तक सर्वर एक बार फिर उपयोगकर्ता सत्यापन की जाँच नहीं करता। एक विकृत AWS4-HMAC हेडर भेजकर भेद्यता को और अधिक स्थिर किया जा सकता है, जिससे रेस कंडीशन को सफलतापूर्वक ट्रिगर करने की आवश्यकता समाप्त हो जाती है। केवल उपयोगकर्ता नाम और उसके बाद एक स्लैश (/) प्रदान करके, सर्वर सफलतापूर्वक एक उपयोगकर्ता नाम ढूंढ लेगा, जो सफल anypass प्रमाणीकरण प्रक्रिया को ट्रिगर करता है, लेकिन सर्वर अपेक्षित SignedHeaders प्रविष्टि खोजने में विफल रहेगा, जिसके परिणामस्वरूप इंडेक्स-आउट-ऑफ-बाउंड त्रुटि होती है जो कोड को सत्र सफाई तक पहुंचने से रोकती है। साथ में, ये समस्याएं किसी भी ज्ञात या अनुमान लगाने योग्य उपयोगकर्ता (जैसे, crushadmin) के रूप में प्रमाणित करना आसान बनाती हैं, और एक प्रशासनिक खाता प्राप्त करके सिस्टम से पूरी तरह समझौता कर सकती हैं।

स्रोत