BDU:2025-03886 (CVE-2025-2825)

Уязвимость реализации алгоритма AWS4-HMAC-SHA256 кроссплатформенного FTP-сервера CrushFTP, позволяющая нарушителю обойти ограничения безопасности, получить доступ к учетной записи администратора и выполнить произвольные команды

Опубликовано: 2025-04-10

Описание

Уязвимость реализации алгоритма AWS4-HMAC-SHA256 кроссплатформенного FTP-сервера CrushFTP связана с обходом аутентификации в результате использования учетной записи crushadmin по умолчанию. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности, получить доступ к учетной записи администратора и выполнить произвольные команды

Затрагиваемое ПО и версии

CrushFTP (от 11.0.0 до 11.3.1)CrushFTP (от 10.0.0 до 10.8.4)

Способ устранения

Использование рекомендаций:
https://www.crushftp.com/crush11wiki/Wiki.jsp?page=Update

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://attackerkb.com/topics/k0EgiL9Psz/cve-2025-2825/rapid7-analysis https://crushftp.com/crush11wiki/Wiki.jsp?page=Update#section-Update-VulnerabilityInfo https://outpost24.com/blog/crushftp-auth-bypass-vulnerability/https://projectdiscovery.io/blog/crushftp-authentication-bypass https://www.darkreading.com/vulnerabilities-threats/disclosure-drama-clouds-crushftp-vulnerability-exploitation https://www.huntress.com/blog/crushftp-cve-2025-31161-auth-bypass-and-post-exploitation https://www.infosecurity-magazine.com/news/crushftp-flaw-exploited-disclosure/

Проверьте безопасность своего сайта и почты → Полная проверка домена