CVE-2025-31161

Resumo

CrushFTP 10 antes de 10.8.4 e 11 antes de 11.3.1 permite contornar a autenticação e assumir a conta crushadmin (a menos que uma instância de proxy DMZ seja usada), como explorado ativamente em março e abril de 2025, também conhecida como "Acesso não autenticado à porta HTTP(S)." Existe uma condição de corrida no método de autorização AWS4-HMAC (compatível com S3) do componente HTTP do servidor FTP. O servidor primeiro verifica a existência do usuário executando uma chamada a login_user_pass() sem exigir senha. Isso autentica a sessão por meio do processo de verificação HMAC e até que o servidor verifique o usuário mais uma vez. A vulnerabilidade pode ser ainda mais estabilizada, eliminando a necessidade de acionar uma condição de corrida com sucesso, ao enviar um cabeçalho AWS4-HMAC corrompido. Ao fornecer apenas o nome de usuário e uma barra (/) a seguir, o servidor encontrará com sucesso um nome de usuário, o que aciona o processo de autenticação anypass bem-sucedido, mas o servidor não encontrará a entrada SignedHeaders esperada, resultando em um erro de índice fora dos limites que impede o código de alcançar a limpeza da sessão. Em conjunto, esses problemas tornam trivial autenticar-se como qualquer usuário conhecido ou adivinhável (por exemplo, crushadmin) e podem levar ao comprometimento total do sistema pela obtenção de uma conta administrativa.

Fontes