CVE-2024-4040-CrushFTP-server

CrushFTP는 독점적인 다중 프로토콜, 다중 플랫폼 파일 전송 서버입니다.

CVE-2024-4040 - 모든 플랫폼의 CrushFTP 10.7.1 및 11.1.0 이전 모든 버전에서 발생하는 서버 측 템플릿 삽입(Server Side Template Injection) 취약점으로, 인증되지 않은 원격 공격자가 VFS 샌드박스 외부의 파일 시스템에서 임의의 파일을 읽고, 인증을 우회하여 관리자 액세스 권한을 획득하며, 서버에서 원격 코드 실행을 수행할 수 있습니다.

영향을 받는 버전: CrushFTP 10.7.1 및 11.1.0 이전 버전

사용법: python3 exploit.py -u -p

사용 예시: python3 exploit.py -u http://127.0.0.1 -p 8080

면책 조항: 이 익스플로잇은 교육 및 공인된 테스트 목적으로만 사용해야 합니다. 이 익스플로잇의 불법/무단 사용은 금지됩니다.

참고 자료: https://nvd.nist.gov/vuln/detail/CVE-2024-4040 https://www.rapid7.com/blog/post/2024/04/23/etr-unauthenticated-crushftp-zero-day-enables-complete-server-compromise/ https://www.bleepingcomputer.com/news/security/crushftp-warns-users-to-patch-exploited-zero-day-immediately/