CVE-2025-31161

CrushFTP 10 anterior a 10.8.4 y 11 anterior a 11.3.1 permite la omisión de autenticación y la toma de control de la cuenta crushadmin (a menos que se utilice una instancia proxy DMZ), tal como se ha explotado en entornos reales en marzo y abril de 2025, también conocido como «acceso no autenticado al puerto HTTP(S)». Existe una condición de carrera en el método de autorización AWS4-HMAC (compatible con S3) del componente HTTP del servidor FTP. El servidor primero verifica la existencia del usuario realizando una llamada a login_user_pass() sin requisito de contraseña. Esto autenticará la sesión mediante el proceso de verificación HMAC y hasta que el servidor compruebe la verificación del usuario una vez más. La vulnerabilidad se puede estabilizar aún más, eliminando la necesidad de desencadenar con éxito una condición de carrera, mediante el envío de una cabecera AWS4-HMAC malformada. Al proporcionar solo el nombre de usuario y una barra inclinada (/), el servidor encontrará con éxito un nombre de usuario, lo que desencadena el proceso de autenticación anypass correcto, pero el servidor no podrá encontrar la entrada SignedHeaders esperada, lo que provoca un error de índice fuera de los límites que impide que el código llegue a la limpieza de la sesión. En conjunto, estos problemas hacen que sea trivial autenticarse como cualquier usuario conocido o adivinable (por ejemplo, crushadmin) y pueden conducir a un compromiso total del sistema mediante la obtención de una cuenta administrativa.