CVE-2025-31161
CrushFTP 인증 우회 취약점
- 게시됨
- 2025. 4. 3.
- 업데이트됨
- 2025. 10. 21.
- CNA 할당 중
- mitre
- 증거 관찰됨
- 2025. 4. 7.
기본 CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H높음 · 다음 30일
- 백분위수
- 100.0%
- 모델 날짜
- 2026. 10. 26.
EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.
악용된 것으로 알려진 CISA
이 CVE는 CISA 알려진 악용 취약점 카탈로그에 나타납니다.
요약
CrushFTP 10 10.8.4 이전 버전 및 11 11.3.1 이전 버전에서 인증 우회 및 crushadmin 계정 탈취가 가능하며(단, DMZ 프록시 인스턴스를 사용하는 경우는 제외), 2025년 3월과 4월에 실제 공격에 악용되었습니다. 일명 "Unauthenticated HTTP(S) port access"입니다. FTP 서버의 HTTP 구성 요소에 있는 AWS4-HMAC(S3 호환) 인증 방식에는 경쟁 조건(race condition)이 존재합니다. 서버는 먼저 비밀번호 요구사항 없이 login_user_pass() 호출을 수행하여 사용자 존재 여부를 확인합니다. 이 과정에서 HMAC 검증 절차를 통해 세션이 인증되며, 이후 서버가 사용자 검증을 다시 한 번 수행하기 전까지 인증 상태가 유지됩니다. 이 취약점은 변조된 AWS4-HMAC 헤더를 전송함으로써 경쟁 조건을 성공적으로 트리거할 필요성을 제거하고 더욱 안정적으로 악용할 수 있습니다. 사용자 이름과 뒤따르는 슬래시(/)만 제공하면 서버는 사용자 이름을 성공적으로 찾아 anypass 인증 프로세스가 성공적으로 트리거되지만, 서버는 예상되는 SignedHeaders 항목을 찾지 못해 인덱스 범위를 벗어나는 오류(index-out-of-bounds)가 발생하고, 이로 인해 코드가 세션 정리 단계에 도달하지 못하게 됩니다. 이러한 문제들이 결합되어 알려졌거나 추측 가능한 사용자(예: crushadmin)로 손쉽게 인증할 수 있게 되며, 관리자 계정을 획득하여 시스템 전체를 완전히 장악할 수 있습니다.
소스
http/cves/2025/CVE-2025-31161.yaml
Nuclei Templates명시된 조건
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
CrushFTP CVE-2025-31161 인증 우회 익스플로잇: 취약한 대상을 탐지하고, 사용자를 열거하며, Go 및 Bash로 제작된 HTTP 요청을 통해 승인되지 않은 관리자 계정을 생성합니다.
책임 있는 사용
귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.