Une faille de sécurité critique récemment divulguée ayant un impact sur Crushftp a été ajouté par l’Agence américaine de sécurité de cybersécurité et d’infrastructure (CISA) à ses vulnérabilités exploitées connues (Kev) Catalogue après que les rapports ont émergé d’exploitation active dans la nature.
Le vulnérabilité est un cas de contournement d’authentification qui pourrait permettre à un attaquant non authentifié de reprendre des instances sensibles. Il a été fixé Dans les versions 10.8.4 et 11.3.1.
“Crushftp contient une vulnérabilité de contournement d’authentification dans l’en-tête d’autorisation HTTP qui permet à un attaquant non authentifié distant de s’authentifier pour tout compte d’utilisateur connu ou devignable (par exemple, Crushadmin), conduisant potentiellement à un compromis complet”, a déclaré CISA dans un avis.
La lacune a été attribuée à l’identifiant CVE CVE-2025-31161 (Score CVSS: 9.8). Il convient de noter que la même vulnérabilité était auparavant suivie que CVE-2025-2825qui a maintenant été marqué rejeté dans la liste CVE.
Le développement intervient après que le processus de divulgation associé à la faille a été empêtré dans la controverse et la confusion, vulncheck – car il s’agit d’une autorité de numérotation CVE (CNA) – attribué à un identifiant (IE, CVE-2025-2825), tandis que le CVE réel (c’est-à-dire CVE-2025-31161) avait été inscrit.
UptPost24, qui est crédité d’avoir divulgué de manière responsable le défaut au vendeur, a entré Pour clarifier qu’il a demandé un numéro CVE à Mitre le 13 mars 2025 et qu’il se coordonnait avec Crushftp pour s’assurer que les correctifs ont été déployés dans un délai de divulgation de 90 jours.
Cependant, ce n’est que le 27 mars que Mitre a attribué au défaut le CVE CVE-2025-31161, date à laquelle Vulncheck avait publié un CVE propre sans contacter “Crushftp ou OutPost24 à l’avance pour voir si un processus de divulgation responsable était déjà en cours”.
La société suédoise de cybersécurité a depuis publié des instructions étape par étape pour déclencher l’exploit sans partager une grande partie des détails techniques –
- Générer un jeton de session alphanumérique aléatoire d’un minimum de 31 caractères de longueur
- Définissez un cookie appelé Crushauth sur la valeur générée à l’étape 1
- Définissez un cookie appelé CurrentAuth sur les 4 derniers caractères de la valeur générée à l’étape 1
- Effectuez une demande HTTP GET sur le Target / WebInterface / Function / avec les cookies des étapes 2 et 3, ainsi qu’un en-tête d’autorisation défini sur “aws4-hmac =
/,” où L’utilisateur est-il à signer comme (par exemple, Crushadmin)
Un résultat net de ces actions est que la session générée au début est authentifiée en tant qu’utilisateur choisi, permettant à un attaquant d’exécuter toutes les commandes auxquelles l’utilisateur a des droits.
Huntress, qui a recréé une preuve de concept pour CVE-2025-31161, dit Il a observé l’exploitation dans la fenêtre du CVE-2025-31161 le 3 avril 2025 et qu’il a découvert une activité post-exploitation supplémentaire impliquant l’utilisation de l’agent maillé et d’autres logiciels malveillants. Il existe des preuves suggérant que le compromis peut avoir eu lieu dès le 30 mars.
La société de cybersécurité a déclaré avoir vu des efforts d’exploitation ciblant quatre hôtes distincts de quatre sociétés différentes à ce jour, ajoutant que trois des personnes touchées ont été hébergées par le même fournisseur de services gérés (MSP). Les noms des entreprises touchées n’ont pas été divulguées, mais elles appartiennent à des secteurs de marketing, de vente au détail et de semi-conducteurs.
Les acteurs de la menace se sont avérés armer l’accès pour installer un logiciel de bureau distant légitime tel que AnyDesk et Meshagent, tout en prenant des mesures pour récolter des informations d’identification dans au moins un cas.
Après avoir déployé Meshagent, les attaquants auraient ajouté un utilisateur non-trajet (“Crusser”) au groupe des administrateurs locaux et livré un autre binaire C ++ (“D3d11.dll”), une implémentation de la bibliothèque open-source Tgbot.
“TT est probable que les acteurs de la menace utilisent un bot télégramme pour collecter la télémétrie auprès des hôtes infectés”, ont déclaré les chercheurs de Huntress.
Au 6 avril 2025, il y a 815 instances non corrigées Vulnérable à la faille, dont 487 situés en Amérique du Nord et 250 en Europe. À la lumière de l’exploitation active, les agences fédérales de cadres civils (FCEB) sont tenues d’appliquer les correctifs nécessaires d’ici le 28 avril pour sécuriser leurs réseaux.