**CVE-2025-31161** é uma vulnerabilidade crítica de bypass de autenticação no **CrushFTP**, uma popular solução de Transferência Gerenciada de Arquivos (MFT).

Um invasor remoto não autenticado pode se passar por qualquer usuário conhecido (incluindo a conta de administrador padrão crushadmin) explorando uma falha no processamento do cabeçalho de autorização AWS4-HMAC-SHA256.

Esta vulnerabilidade tem sido ativamente explorada na natureza e foi adicionada ao catálogo CISA Known Exploited Vulnerabilities (KEV).

---

📊 Detalhes da Vulnerabilidade

---

🧨 Causa Raiz

A vulnerabilidade decorre de uma condição de corrida e análise inadequada no mecanismo de autorização AWS4-HMAC. Ao enviar um cabeçalho especialmente criado com um nome de usuário conhecido (por exemplo, crushadmin/), os atacantes podem contornar a autenticação e se passar por qualquer usuário.

---

🛡️ Mitigação

• Atualize imediatamente para:
  • CrushFTP 10.8.4 ou mais recente
  • CrushFTP 11.3.1 ou mais recente
• Use a instância de proxy DMZ como mitigação temporária se a atualização for atrasada.
• Restrinja a exposição pública das portas HTTP/HTTPS do CrushFTP (8080 / 8443).
• Monitore os logs em busca de tentativas suspeitas de autenticação.

---

📸 Demonstração

---

📚 Referências

• Atualização Oficial do CrushFTP
• Detalhes NVD
• Catálogo CISA KEV
• Análise da Huntress
• Análise da Rapid7

---

⚠️ Aviso Legal

Este repositório é fornecido apenas para fins educacionais e de pesquisa em segurança.
A informação destina-se a ajudar organizações a entender a gravidade desta vulnerabilidade e aplicar mitigação oportuna.

A exploração não autorizada contra sistemas que você não possui é ilegal e antiética.

---