**CVE-2025-31161** — это критическая уязвимость обхода аутентификации в **CrushFTP**, популярном решении для управляемой передачи файлов (MFT).

Неавторизованный удаленный злоумышленник может выдать себя за любого известного пользователя (включая учетную запись администратора по умолчанию crushadmin), используя недостаток в обработке заголовка авторизации AWS4-HMAC-SHA256.

Эта уязвимость активно эксплуатировалась в реальных атаках и была добавлена в каталог известных эксплуатируемых уязвимостей CISA (KEV).

---

📊 Детали уязвимости

---

🧨 Основная причина

Уязвимость возникает из-за состояния гонки (race condition) и некорректного разбора в механизме авторизации AWS4-HMAC. Отправляя специально сформированный заголовок с известным именем пользователя (например, crushadmin/), злоумышленники могут обойти аутентификацию и выдать себя за любого пользователя.

---

🛡️ Меры по снижению риска

• Немедленно обновитесь до:
  • CrushFTP 10.8.4 или новее
  • CrushFTP 11.3.1 или новее
• Используйте DMZ-прокси в качестве временной меры, если обновление задерживается.
• Ограничьте публичный доступ к HTTP/HTTPS портам CrushFTP (8080 / 8443).
• Отслеживайте логи на предмет подозрительных попыток аутентификации.

---

📸 Демо

---

📚 Ссылки

• Официальное обновление CrushFTP
• Детали NVD
• Каталог CISA KEV
• Анализ Huntress
• Анализ Rapid7

---

⚠️ Правовое предупреждение

Данный репозиторий предоставлен только для образовательных целей и исследований в области безопасности.
Информация предназначена для помощи организациям в понимании серьёзности этой уязвимости и своевременного применения мер защиты.

Несанкционированная эксплуатация против систем, которые вам не принадлежат, незаконна и неэтична.

---