CVE-2025-31161

概要

CrushFTP 10（10.8.4 未満）および 11（11.3.1 未満）では、（DMZ プロキシインスタンスを使用していない限り）認証バイパスと crushadmin アカウントの乗っ取りが可能です。この脆弱性は 2025年3月および4月に実環境で悪用され、"Unauthenticated HTTP(S) port access"（未認証の HTTP(S) ポートアクセス）として知られています。FTP サーバーの HTTP コンポーネントにおける AWS4-HMAC（S3 互換）認証方式には競合状態（レースコンディション）が存在します。サーバーはまず、パスワード要件なしで login_user_pass() を呼び出してユーザーの存在を検証します。これにより、HMAC 検証プロセスを通じてセッションが認証され、サーバーがユーザー検証を再度チェックするまでの間、その認証状態が維持されます。破損した AWS4-HMAC ヘッダーを送信することで、競合状態のトリガーに成功する必要がなくなり、この脆弱性をさらに安定化させることができます。ユーザー名とそれに続くスラッシュ（/）のみを提供すると、サーバーはユーザー名を正常に見つけ出し、anypass 認証プロセスの成功を引き起こしますが、期待される SignedHeaders エントリの検索には失敗し、インデックス範囲外（index-out-of-bounds）エラーが発生して、コードがセッションクリーンアップに到達しなくなります。これらの問題が組み合わさることで、既知または推測可能な任意のユーザー（例: crushadmin）としての認証が極めて容易になり、管理アカウントを取得することでシステム全体を侵害される可能性があります。

ソース

• CrushFTP-auth-bypass-CVE-2025-31161エクスプロイト

  CrushFTP CVE-2025-31161 認証バイパス用エクスプロイト：脆弱なターゲットを検出し、ユーザーを列挙し、Go と Bash で細工した HTTP リクエストを通じて不正な管理者アカウントを作成します。