Pesquisa sobre Bypass de Autenticação AS2 no CrushFTP

⚠️ IMPORTANTE: Esta vulnerabilidade foi corrigida pela CrushFTP em novembro de 2025. Esta pesquisa é publicada apenas para fins educacionais e defensivos.

📝 NOTA: Esta pesquisa é baseada em padrões de vulnerabilidade semelhantes ao CVE-2025-54309. O número exato do CVE pode diferir. Esta é uma pesquisa de segurança independente conduzida em um ambiente de laboratório doméstico controlado.

Sobre Esta Pesquisa

Este repositório documenta uma vulnerabilidade crítica de bypass de autenticação em servidores CrushFTP que permite acesso administrativo completo através da manipulação de cabeçalhos AS2 (Applicability Statement 2). A vulnerabilidade não requer nenhuma autenticação e pode ser explorada com uma única requisição HTTP.

Pontos Principais:

• Pesquisa conduzida em laboratório doméstico autorizado (março a julho de 2025)
• Notificado ao fornecedor (agosto de 2025) - nenhuma resposta recebida
• Corrigido pela CrushFTP (novembro de 2025)
• Divulgação pública (dezembro de 2025)
• Publicado para fins educacionais e defensivos

Pesquisador: SmileyFace101 (@SmileyFace101)

🔍 Detalhes da Vulnerabilidade

Resumo Técnico

A interface web do CrushFTP confia incorretamente em cabeçalhos de protocolo AS2 sem a devida validação. O servidor assume que requisições AS2 são pré-autenticadas e ignora os procedimentos normais de autenticação.

Detalhes Principais

• Produto: CrushFTP Server
• Componente: Módulo de Autenticação AS2
• CVSS Estimado: 9.8 (Crítico)
• Vetor de Ataque: Manipulação de Cabeçalho HTTP
• Complexidade: BAIXA - Única requisição HTTP
• Autenticação: NENHUMA necessária
• Impacto: Comprometimento completo do sistema
• CVE Relacionado: Semelhante ao CVE-2025-54309

Versões Testadas

Versões Vulneráveis do CrushFTP (Confirmadas em Laboratório):

• CrushFTP 10.x (testado no branch 10.5.x)
• CrushFTP 11.x (testado no branch 11.1.x)

Versões Corrigidas:

• CrushFTP 10.7.0+ (corrigido em novembro de 2025)
• CrushFTP 11.2.0+ (corrigido em novembro de 2025)

Ambiente de Laboratório:

• Sistema Operacional: Linux (Ubuntu 22.04 LTS)
• Infraestrutura de Teste: Rede de laboratório doméstico isolada
• Nenhum sistema de produção foi testado

Vetor de Ataque

X-DMZ-Proxy: disabled
X-AS2-Version: 1.0
User-Agent: AS2Server/1.0

Exemplo (Ambiente de Laboratório):

curl -H "X-DMZ-Proxy: disabled" \
     -H "X-AS2-Version: 1.0" \
     -H "User-Agent: AS2Server/1.0" \
     "http://10.0.100.50/WebInterface/admin/index.html"

Nota: Use apenas em sistemas que você possui ou tem permissão explícita para testar.

Descoberta Crítica

Durante a exploração, descobrimos uma relação matemática na geração de cookies de sessão que torna a exploração 100% confiável:

Estrutura do CrushAuth: [TIMESTAMP]_[SESSION_ID]
currentAuth = Últimos 4 caracteres do SESSION_ID
Parâmetro c2f = Mesmo valor que currentAuth

� O Que Você Encontrará Aqui

🔧 Ferramentas de Exploração

• Scripts PoC completos com gerenciamento de sessão
• Testes direcionados para endpoints de alto valor
• Exploração adaptativa com múltiplas estratégias

🔍 Detecção e Defesa

• Regras IDS/IPS (Snort e Suricata)
• Scripts de análise de logs para detecção de IOCs
• Assinaturas de rede para monitoramento

📖 Documentação

• Análise técnica - Detalhamento completo da vulnerabilidade
• Metodologia de exploração - Cadeia de ataque passo a passo
• Gerenciamento de sessão - Padrão matemático descoberto
• Análise de JavaScript - Engenharia reversa do código do lado do cliente

📊 Avaliação de Impacto

Capacidades Pós-Exploração

✅ Enumeração completa do servidor e de usuários
✅ Criação e modificação de contas de usuário
✅ Acesso e navegação no sistema de arquivos
✅ Execução de comandos via interface telnet
✅ Agendamento de tarefas com privilégios de sistema
✅ Acesso a chaves PGP e certificados
✅ Modificação de configurações administrativas

🛡️ Mitigação e Remediação

Ações Imediatas (CRÍTICO)

1. Atualize o CrushFTP para a versão mais recente imediatamente
2. Desative a funcionalidade AS2 se não for necessária
3. Implemente regras de WAF bloqueando cabeçalhos AS2 de fontes não confiáveis
4. Redefina todas as credenciais administrativas nos servidores CrushFTP
5. Ative MFA para painéis administrativos

Implementação de Detecção

Veja o diretório detection/ para:

• Assinaturas IDS/IPS (Snort, Suricata)
• Consultas de análise de logs
• Assinaturas de tráfego de rede
• Regras de detecção de anomalias comportamentais

Medidas de Segurança a Longo Prazo

• Implementar autenticação multifatorial
• Segmentação de rede para interfaces administrativas
• Avaliações regulares de segurança
• Aplicação do princípio do menor privilégio

📈 Detecção e Perícia Forense

Assinaturas de Tráfego HTTP

X-DMZ-Proxy: disabled
X-AS2-Version: 1.0
User-Agent: AS2Server/1.0

Indicadores de Rede

• Respostas HTTP grandes (19KB+) de endpoints administrativos sem autenticação
• Requisições POST para /WebInterface/function/ com cabeçalhos AS2
• Acesso ao painel administrativo sem login prévio
• Padrões de tráfego incomuns para servidores CrushFTP

Análise de Logs

# Logs do servidor web
grep -E "(X-DMZ-Proxy|X-AS2-Version|AS2Server)" /var/log/nginx/access.log

# Logs de aplicação do CrushFTP
grep -E "(WebInterface/admin|WebInterface/function)" crushftp.log

📚 Conteúdo do Repositório

.
├── README.md                          # Este arquivo - visão geral e uso
├── docs/
│   └── TECHNICAL_ANALYSIS.md         # Análise técnica completa
├── exploits/
│   ├── enhanced_session_exploit.sh   # Exploração completa com gerenciamento de sessão
│   ├── targeted_exploitation.sh      # Testes em endpoints de alto valor
│   └── adaptive_exploitation.sh      # Abordagem multiestratégia
└── detection/
    ├── snort_rules.txt               # Assinaturas IDS/IPS (Snort)
    ├── suricata_rules.txt            # Assinaturas IDS/IPS (Suricata)
    └── log_analysis.sh               # Análise de logs e detecção de IOCs

Início Rápido

1. Leia a documentação:

   • Comece com este README para uma visão geral
   • Veja TECHNICAL_ANALYSIS.md para detalhes técnicos aprofundados

2. Teste em seu laboratório:

   root@kitploit:~

   # Certifique-se de que você é o proprietário do sistema alvo!
   ./exploits/enhanced_session_exploit.sh 10.0.100.50
   

3. Implante a detecção:

   • Copie as regras IDS para seu Snort/Suricata
   • Execute o script de análise de logs nos logs do seu servidor web

🔬 Descobertas da Pesquisa

Principais Conquistas Técnicas

✅ Bypass de autenticação AS2 completo descoberto e documentado
✅ Requisito crítico de geração de cookies de sessão identificado e resolvido
✅ Relação matemática no gerenciamento de sessão submetida a engenharia reversa
✅ Metodologia de exploração em duas fases desenvolvida
✅ Padrão de exploração 100% confiável estabelecido
✅ Múltiplos vetores de RCE identificados e analisados
✅ Análise completa do código fonte JavaScript realizada

Endpoints Afetados do CrushFTP

• /WebInterface/admin/index.html - Painel administrativo principal
• /WebInterface/admin/telnet.html - Interface Telnet
• /WebInterface/Jobs/index.html - Gerenciamento de tarefas
• /WebInterface/UserManager/index.html - Gerenciamento de usuários
• /WebInterface/PGP/index.html - Gerenciamento de chaves PGP
• /WebInterface/function/ - Processador de funções administrativas

🔗 Referências

• Site Oficial do CrushFTP
• Calculadora CVSS 3.1
• CWE-287: Improper Authentication
• Folha de Dicas de Autenticação do OWASP

👤 Autor

Autor: SmileyFace101
GitHub: @SmileyFace101
Período de Pesquisa: Março - Julho de 2025 (Laboratório Doméstico)
Divulgação Pública: 6 de Dezembro de 2025

⚖️ Aviso Legal e Ético

Esta pesquisa é apenas para fins EDUCACIONAIS e DEFENSIVOS.

✅ Uso Autorizado:

• Pesquisa e educação em segurança
• Defesa de seus próprios sistemas
• Testes de penetração autorizados
• Compreensão de padrões de ataque

❌ Proibido:

• Acesso não autorizado a sistemas
• Testar sistemas sem permissão
• Uso malicioso
• Qualquer atividade ilegal

Ao usar esta pesquisa, você concorda em:

1. Utilizá-la apenas em sistemas que você possui ou tem permissão por escrito para testar
2. Cumprir todas as leis e regulamentos aplicáveis
3. Praticar divulgação responsável
4. Assumir toda a responsabilidade por suas ações

Aviso de Responsabilidade: O autor não se responsabiliza pelo uso indevido. O acesso não autorizado a computadores é ilegal.

📄 Licença

Licença MIT - Veja o arquivo LICENSE para detalhes.

Última Atualização: 6 de Dezembro de 2025
Avaliação de Risco: CRÍTICO - Correção e mitigação imediatas necessárias

Última Atualização: 6 de Dezembro de 2025
Autor: SmileyFace101
Pesquisa Conduzida: Março - Julho de 2025 em ambiente de laboratório autorizado