BDU:2024-03173 (CVE-2024-4040) — уязвимость веб-интерфейса кроссплатформенного FTP-сервера CrushFTP
По данным БДУ ФСТЭК России, по состоянию на 27.04.2024.
Высокий — 8.6/10 Публичный эксплойт Есть инциденты ИБ Устранена
Уязвимость веб-интерфейса кроссплатформенного FTP-сервера CrushFTP связана с ошибками при управлении привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выйти из виртуальной файловой системы (VFS) и получить доступ к системным файлам
Кого касается и что делать
- Уязвимое ПО: CrushFTP (Converge Technology Solutions) — версии до 11.0.1
- Что делать: уязвимость устранена производителем — применить исправления: www.crushftp.com, crushftp.com
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2024-03173 · CVE-2024-4040 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 8.6; CVSS 2.0 — 7.8) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность |
| Наименование ФСТЭК | Уязвимость веб-интерфейса кроссплатформенного FTP-сервера CrushFTP, позволяющая нарушителю выйти из виртуальной файловой системы (VFS) и получить доступ к системным файлам |
| Даты | Опубликована: 22.04.2024 · Обновлена ФСТЭК: 27.04.2024 · Выявлена: 19.04.2024 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-269 — небезопасное управление привилегиями |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: нарушение авторизации |
Уязвимое ПО
- CrushFTP (Converge Technology Solutions) — до 11.0.1 · сетевое программное средство
Возможные меры по устранению уязвимости
Обновление.
- Установка обновлений из доверенных источников.
- В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Если обновиться нельзя
- использование демилитаризованной зоны (DMZ) перед файловым сервером
- ограничение доступа к файловому серверу из внешних сетей (Интернет)
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к файловому серверу
- использование антивирусного программного обеспечения для отслеживания средств эксплуатации уязвимости.
Использование рекомендаций производителя:
www.crushftp.com/crush11wiki/Wiki.jsp
crushftp.com/version11_build.html
