CVE-2025-54309
Mis à jour :
Sécurité de CrushFTP : Accès Administratif Sans Authentification
Une faille de sécurité dans certaines versions de CrushFTP (antérieures aux versions 10.8.5 et 11.3.4_23) permet à des attaquants distants non authentifiés d’obtenir un accès administratif. La vulnérabilité, identifiée comme CVE-2025-54309, résulte d’une validation inadéquate du protocole AS2 sur HTTPS, particulièrement lorsque la fonctionnalité de proxy DMZ n’est pas activée.
Le système échoue à valider correctement les requêtes distantes adressées aux points d’accès AS2. Ceci ouvre la porte à des attaquants qui peuvent falsifier des requêtes, les faisant ainsi passer pour des sources fiables, contournant les mécanismes d’authentification. En envoyant des charges utiles AS2 malveillantes via HTTPS vers un point d’accès CrushFTP exposé, un attaquant peut soumettre des commandes administratives, potentiellement mener à une escalade de privilèges et exécuter des commandes arbitraires.
Points Clés :
- Vulnérabilité : CVE-2025-54309
- Produit affecté : CrushFTP, versions antérieures à 10.8.5 et 11.3.4_23.
- Cause : Validation incorrecte du protocole AS2 sur HTTPS en l’absence du proxy DMZ.
- Impact : Permet à des attaquants distants non authentifiés d’obtenir un accès administratif et potentiellement d’exécuter des commandes arbitraires.
Recommandations :
- Mettre à jour CrushFTP vers les versions 10.8.5 ou 11.3.4_23 ou ultérieures.