Критическая уязвимость CrushFTP угрожает безопасности передачи данных
Недавно была выявлена уязвимость CVE-2025-31161, затрагивающая программное обеспечение для передачи файлов CrushFTP. Эта уязвимость, получившая оценку CVSS 9,8, позволяет злоумышленникам получить административный контроль над приложением без предоставления действительных учетных данных. Данная проблема требует немедленного внимания со стороны пользователей CrushFTP.
Характеристика уязвимости
Уязвимость возникает из-за логических ошибок в функциональности аутентификации S3, который позволяет обойти механизм аутентификации с помощью простого HTTP-заголовка авторизации. Первая информация о данной уязвимости появилась 31 марта 2025 года, а уже на следующий день хакеры начали активные тестирования ее использованию для дальнейшей эксплуатации.
Методы эксплуатации
После успешного использования уязвимости злоумышленники создают в приложении «черные ходы», что позволяет сохранить доступ к скомпрометированным системам. Кроме того, была зафиксирована возможность изменения параметров учетной записи, таких как время последнего входа в систему, с целью скрыть свою активность.
Атрибуты вредоносной активности
Компания Huntress провела проверку концепции CVE-2025-31161 и обнаружила, что одной из вредоносных активностей стало создание новой учетной записи администратора с именем «Eaion6Mz» с помощью функции setUserItem. Это свидетельствует о более широкой тенденции, при которой хакеры нацеливаются на платформы для управляемой передачи файлов, учитывая их внешнюю природу и обработку конфиденциальных данных.
Дополнительные инструменты злоумышленников
В дополнение к созданию «бэкдоров» хакеры используют такие инструменты, как MeshCentral agent, для поддержания удаленного доступа и активности в уязвимых системах. Среди обнаруженных вредоносных программ также представлены AnyDesk и специализированные вредоносные программы, что подчеркивает разнообразие методов контроля над скомпрометированными средами.
Объем риска и рекомендации
Несмотря на то что на текущий момент зафиксировано ограниченное количество хостов с уязвимостью, риски остаются значительны. По оценкам, в интернете все еще доступно около 130 000 экземпляров уязвимого ПО. Злоумышленники размещают на хостах дополнительные компоненты, такие как библиотека DLL, связанная с ботом Telegram, что может использоваться для сбора телеметрии.
Уязвимые версии CrushFTP включают: 10.0.0 до 10.8.3 и 11.0.0 до 11.3.0. Рекомендуется немедленно обновить ПО для снижения рисков безопасности и защиты от возможных атак.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
