FOI Publicado UM Explora Funcial de Prova de Conceito (POC) para A Falha CVE-2025-54309, uma vulnerabilidada Crítica de Bypass de Autenticação no Crushftp. O Problema, Explorado Desde Julho de 2025, Permite Que Atacantes Obtenham Privilégios Administrativos por Meio de Uma Condição de Corrida No Processamento de Vallação AS2, Contornondo os mecanismos de Autenticação.
Leia Tamboma
Luxemburgo: Quatro Horas SEM Telecomunicações
Nova Ferradores Acelera Responsta A CibeRataques
A Falha Afeta o Crushftp 10 antes da versão 10.8.5 EO Crushftp 11 antes da versão 11.3.4_23, Principal Quando o Recurso DMZ Proxy Está Desativado – Configuraça comum na Maioria Das Implantanta Corporativas. O Códão POC, Publicado no Github, Não InstaLa Backdoors, mas compreeva a instânncia está vulnerável ao extrir a lista de usuários.
Segundo Pesquisadores, o Ataque constitui em dois posta sequenciais para o endpoint/webInterface/function/. Ó Primeiro, com O Cabeçalho AS2-TO: crushadminédiatamente seguido de outro sem o Cabeçalho, mas com os biscoitos de Mesmos de Sessão. Uma execução de concorrente de requisitos de requisitos de permissão ao invasor se passar Pelo Usuário Interno Crushadmin e Criar Novas Contas Administratives.
O CVSS 3.1 Atribuiu Pontuaza 9.8 (crítico), com potencial de execução remota de cáldigo. Organizações Monitore Picos de Postações de Postagens com Padrões Repetitivos de Cabeçalhos e Cookies, Além de Aplicar Assinaturas de Detecção para Identificar A Exploração.
Uma recomndação imediata é o parágrafo como versões 10.8.5 ou 11.3.4_23, ativar o proxy DMZ, auditar adições de usuários administrativas e revisar padrões de reutilizaça ã ãado de sessão. Com mais de 30 mil InstânCias Expostas Online, uma exploraça ativa dessa falha representam um risco elevado.
