BDU:2025-03507

Опубликовано: 21 мар. 2025

Источник: fstec

CVSS3: 9.8

CVSS2: 10

Описание

Уязвимость веб-интерфейса кроссплатформенного FTP-сервера CrushFTP связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к программному обеспечению путем отправки специально сформированного HTTP-запроса

Вендор

Converge Technology Solutions

Наименование ПО

CrushFTP

Версия ПО

от 11.0.0 до 11.3.1 (CrushFTP)

от 10.0.0 до 10.8.4 (CrushFTP)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование демилитаризованной зоны (DMZ) перед файловым сервером для предотвращения возможности эксплуатации уязвимости;

- использование защищенных версий протокола FTP (FTPS или SFTP) для организации передачи данных;

- использование средств межсетевого экранирования уровня веб-приложений (WAF);

- использование «белого» списка IP-адресов для ограничения доступа к уязвимому программному обеспечению.

Использование рекомендаций:

https://www.crushftp.com/crush11wiki/Wiki.jsp?page=Update

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.crushftp.com/crush11wiki/Wiki.jsp?page=Update

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-2825
CVE

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2025-2825

nvd

11 месяцев назад

Rejected reason: DO NOT USE THIS CVE RECORD. ConsultIDs: CVE-2025-31161. Reason: This Record is a reservation duplicate of CVE-2025-31161. Notes: All CVE users should reference CVE-2025-31161 instead of this Record. All references and descriptions in this Record have been removed to prevent accidental usage.

GHSA-g533-46g7-g2f9