CVE-2025-31161

CrushFTP 10 avant 10.8.4 et 11 avant 11.3.1 permet un contournement de l'authentification et une prise de contrôle du compte crushadmin (sauf si une instance de proxy DMZ est utilisée), exploité dans la nature en mars et avril 2025, alias « Accès non authentifié au port HTTP(S) ». Une condition de concurrence existe dans la méthode d'autorisation AWS4-HMAC (compatible avec S3) du composant HTTP du serveur FTP. Le serveur vérifie d'abord l'existence de l'utilisateur en effectuant un appel à login_user_pass() sans exigence de mot de passe. Cela authentifie la session via le processus de vérification HMAC et jusqu'à ce que le serveur vérifie à nouveau l'utilisateur. La vulnérabilité peut être davantage stabilisée, éliminant la nécessité de déclencher avec succès une condition de concurrence, en envoyant un en-tête AWS4-HMAC altéré. En fournissant uniquement le nom d'utilisateur et une barre oblique finale (/), le serveur trouve avec succès un nom d'utilisateur, ce qui déclenche le processus d'authentification anypass réussi, mais le serveur ne parvient pas à trouver l'entrée SignedHeaders attendue, ce qui entraîne une erreur d'indice hors limites qui empêche le code d'atteindre le nettoyage de session. Ensemble, ces problèmes rendent trivial de s'authentifier en tant que n'importe quel utilisateur connu ou devinable (par exemple, crushadmin), et peuvent conduire à une compromission complète du système en obtenant un compte administratif.