به‌تازگی یک آسیب‌پذیری به شماره‌ی CVE-2025-54309 و با شدت یک ضعف امنیتی بحرانی در مکانیزم اعتبارسنجی AS2 در نرم‌افزار انتقال فایل CrushFTP شناسایی شده است که در صورتی که قابلیت DMZ Proxy فعال نباشد، باعث بای‌پس احراز هویت و دسترسی غیرمجاز از راه دور به پنل ادمین می‌شود.
در این حالت، مهاجم از طریق ارسال درخواست HTTPS خاص به سرور CrushFTP می‌تواند بدون ارائه اعتبارنامه معتبر، به واسط مدیریت ادمین دسترسی پیدا کند. این نقص به علت پیاده‌سازی نادرست بررسی امضای پیام‌های AS2 رخ می‌دهد.
محصولات تحت‌تأثیر
- CrushFTP نسخه‌ی 10 (قبل از 10.8.5)
- CrushFTP نسخه‌ی 11 (قبل از 11.3.4_23)
این آسیب‌پذیری فقط در حالتی رخ می‌دهد که ویژگی DMZ Proxy فعال نباشد.
توصیه‌های امنیتی
- فوراً نرم‌افزار CrushFTP را به نسخه‌های ایمن‌شده (حداقل 10.8.5 یا 11.3.4_23) به‌روزرسانی کنید.
- دسترسی به رابط مدیریت را فقط از شبکه‌های قابل‌اعتماد محدود کنید.
- گزارش‌ها و لاگ‌های سرور را برای شناسایی فعالیت‌های مشکوک بررسی کنید.
- اگر از DMZ استفاده نمی‌کنید، ارتباط مستقیم خارجی را با سرور اصلی قطع کنید.
- رمزهای عبور و کلیدهای حساس را پس از وقوع حمله احتمالی تغییر دهید.
منبع خبر:
- 14