BDU:2023-07974 (CVE-2023-43177)

Уязвимость компонента Object Attribute Handler кроссплатформенного FTP-сервера CrushFTP связана с ошибками при обработке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код, путём отправки специально сформированных запросов, содержащих заголовки AS2

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- настройка алгоритма пароля по умолчанию на «Argon»;
- контроль создания новых учётных записей и изменения паролей существующих;
- включение режима «Limited Server (Ограниченного сервера)» для предотвращения возможности эксплуатации уязвимости;
- минимизация пользовательских привилегий на хостовой операционной системе, причём CrushFTP должен быть настроен на запуск в контексте этого пользователя с более низкими привилегиями;
- использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа;

Использование рекомендаций:
https://convergetp.com/2023/11/16/crushftp-zero-day-cve-2023-43177-discovered/