CVE-2024-4040

CrushFTP contiene una falla de inyección de plantillas del lado del servidor en su manejo de solicitudes. Un atacante no autenticado envía una entrada que el servidor evalúa como una expresión de plantilla, lo que rompe el sandbox VFS que se supone confina a los usuarios a sus propios archivos. A partir de ahí, el atacante lee archivos arbitrarios del host, elude la autenticación para obtener acceso administrativo y, en última instancia, ejecuta código en el servidor, un compromiso completo previo a la autenticación a partir de una sola solicitud manipulada.

CrushFTP es un producto de transferencia gestionada de archivos, así que los datos que alberga son exactamente el material sensible y a menudo regulado que las organizaciones mueven entre partes, y la misma clase de objetivo que convirtió otras fallas de MFT en eventos de cadena de suministro. Aparecieron informes de explotación dirigida en el mundo real prácticamente al mismo tiempo que la divulgación, y el código de prueba de concepto público siguió rápidamente, impulsando un amplio escaneo oportunista. Actualiza de inmediato a 10.7.1 u 11.1.0 o posterior y, donde sea posible, coloca CrushFTP detrás de su propio proxy DMZ para limitar la exposición directa. Como la ventana de explotación se abrió con la divulgación, trata los servidores expuestos como potencialmente vulnerados: revisa las cuentas de administrador, busca lecturas de archivos inesperadas y rota los secretos que residían en el host.