CVE-2025-31161

CrushFTP 10 vor 10.8.4 und 11 vor 11.3.1 ermöglicht eine Authentifizierungsumgehung und Übernahme des Kontos crushadmin (es sei denn, eine DMZ-Proxy-Instanz wird verwendet), wie im März und April 2025 in freier Wildbahn ausgenutzt, auch bekannt als „Unauthenticated HTTP(S) port access“. Im AWS4-HMAC-Autorisierungsverfahren (kompatibel mit S3) der HTTP-Komponente des FTP-Servers besteht eine Race Condition. Der Server überprüft zunächst die Existenz des Benutzers, indem er einen Aufruf an login_user_pass() ohne Passwortanforderung durchführt. Dadurch wird die Sitzung durch den HMAC-Verifizierungsprozess authentifiziert, und zwar bis zu dem Zeitpunkt, an dem der Server die Benutzerüberprüfung erneut durchführt. Die Schwachstelle kann weiter stabilisiert werden, wodurch die Notwendigkeit entfällt, eine Race Condition erfolgreich auszulösen, indem ein manipulierter AWS4-HMAC-Header gesendet wird. Indem nur der Benutzername und ein folgender Schrägstrich (/) angegeben werden, findet der Server erfolgreich einen Benutzernamen, was den erfolgreichen anypass-Authentifizierungsprozess auslöst, aber der Server findet den erwarteten SignedHeaders-Eintrag nicht, was zu einem Index-out-of-bounds-Fehler führt, der verhindert, dass der Code die Sitzungsbereinigung erreicht. Zusammen machen diese Probleme es trivial, sich als jeder bekannte oder erratbare Benutzer (z. B. crushadmin) zu authentifizieren, und können zu einer vollständigen Kompromittierung des Systems führen, indem ein administratives Konto erlangt wird.