CVE-2025-31161

Riepilogo

CrushFTP 10 precedente alla 10.8.4 e 11 precedente alla 11.3.1 consente il bypass dell'autenticazione e la compromissione dell'account crushadmin (a meno che non venga utilizzata un'istanza proxy DMZ), come sfruttato attivamente in marzo e aprile 2025, noto anche come "accesso non autenticato alla porta HTTP(S)". Esiste una condizione di gara nel metodo di autorizzazione AWS4-HMAC (compatibile con S3) del componente HTTP del server FTP. Il server verifica prima l'esistenza dell'utente effettuando una chiamata a login_user_pass() senza requisito di password. Questo autenticherà la sessione attraverso il processo di verifica HMAC e fino a quando il server non effettua nuovamente il controllo di verifica dell'utente. La vulnerabilità può essere ulteriormente stabilizzata, eliminando la necessità di innescare con successo una condizione di gara, inviando un header AWS4-HMAC alterato. Fornendo solo il nome utente e una barra successiva (/), il server troverà con successo un nome utente, il che innesca il processo di autenticazione anypass riuscito, ma il server non riuscirà a trovare la voce SignedHeaders prevista, causando un errore di indice fuori dai limiti che impedisce al codice di raggiungere la pulizia della sessione. Insieme, questi problemi rendono banale autenticarsi come qualsiasi utente noto o indovinabile (ad es. crushadmin) e possono portare a una compromissione totale del sistema ottenendo un account amministrativo.

Fonti