CVE-2025-31161
CrushFTP 10 prima di 10.8.4 e 11 prima di 11.3.1 consente il bypass dell'autenticazione e la presa di controllo dell'account crushadmin (a meno che non venga utilizzata un'istanza proxy DMZ), come sfruttato in the wild a marzo e aprile 2025, noto anche come "Unauthenticated HTTP(S) port access." Esiste una race condition nel metodo di autorizzazione AWS4-HMAC (compatibile con S3) del componente HTTP del server FTP. Il server verifica prima l'esistenza dell'utente eseguendo una chiamata a login_user_pass() senza richiesta di password. Questo autentica la sessione attraverso il processo di verifica HMAC e fino a quando il server non verifica nuovamente l'utente. La vulnerabilità può essere ulterior
Sfruttata attivamente
- Nel catalogo CISA delle vulnerabilità sfruttate dal 7 apr 2025
- Le agenzie federali statunitensi devono correggerla entro il 28 apr 2025 (direttiva BOD 22-01)
- Attaccata 343 giorni prima che la vulnerabilità fosse resa pubblica
- Confermata dai sensori, non solo da segnalazioni
- Usata in campagne ransomware
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Fonte: CISA KEV · 22 ott 2026 20 ott 2026 14 ott 2026 7 ott 2026 5 ott 2026 2 ott 2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HProdotti coinvolti
| Vendor | Prodotto | Versioni |
|---|---|---|
| crushftp | crushftp | < 10.8.4 |
Articoli correlati
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.