La recente vulnerabilità critica di CrushFTP è stata inclusa nel catalogo delle Vulnerabilità Conosciute Sfruttate (KEV) dell'Agenzia per la Sicurezza delle Infrastrutture e della Sicurezza Informatica degli Stati Uniti (CISA), a seguito di rapporti che indicano un attivo sfruttamento. Questa vulnerabilità permette a un attaccante non autenticato di prendere il controllo di istanze vulnerabili tramite un bypass dell'autenticazione. Il problema, identificato con il codice CVE-2025-31161, è stato risolto nelle versioni 10.8.4 e 11.3.1 di CrushFTP.

Dettagli della vulnerabilità

Il difetto risiede nell'header di autorizzazione HTTP, che consente a un attaccante remoto di autenticarsi come qualsiasi account utente noto o presumibile, come "crushadmin", portando potenzialmente a una completa compromissione del sistema. È importante notare che questa vulnerabilità era stata precedentemente segnalata come CVE-2025-2825, ma è stata successivamente rigettata in favore del nuovo identificativo CVE.

Controversie sulla divulgazione

Il processo di divulgazione della vulnerabilità è stato caratterizzato da controversie, con VulnCheck che ha emesso un proprio CVE senza coordinarsi con CrushFTP o Outpost24, l'azienda che ha inizialmente scoperto e segnalato il problema. Outpost24 ha dichiarato di aver richiesto un numero CVE a MITRE il 13 marzo 2025, mentre VulnCheck ha criticato MITRE per la gestione della situazione e CrushFTP per aver tentato di ritardare la divulgazione pubblica.

Sfruttamenti attivi

Huntress ha riportato di aver osservato sfruttamenti attivi della vulnerabilità in questione il 3 aprile 2025, con attività post-sfruttamento che includevano l'uso dell'agente MeshCentral e altri malware. Sembrerebbe che la compromissione possa essere avvenuta già il 30 marzo. Sono stati identificati tentativi di sfruttamento su quattro host distinti appartenenti a quattro aziende diverse, tre delle quali ospitate dallo stesso fornitore di servizi gestiti.

Situazione attuale

Ad oggi, ci sono ancora 815 istanze vulnerabili non aggiornate, con la maggior parte situata in Nord America ed Europa. A causa dello sfruttamento attivo della vulnerabilità, le agenzie federali statunitensi sono state obbligate ad applicare le patch necessarie entro il 28 aprile per mettere in sicurezza le loro reti.