Trusted Design

CVE-2025-31161 の詳細

CVEの情報

説明:
CrushFTP 10 before 10.8.4 and 11 before 11.3.1 allows authentication bypass and takeover of the crushadmin account (unless a DMZ proxy instance is used), as exploited in the wild in March and April 2025, aka "Unauthenticated HTTP(S) port access." A race condition exists in the AWS4-HMAC (compatible with S3) authorization method of the HTTP component of the FTP server. The server first verifies the existence of the user by performing a call to login_user_pass() with no password requirement. This will authenticate the session through the HMAC verification process and up until the server checks for user verification once more. The vulnerability can be further stabilized, eliminating the need for successfully triggering a race condition, by sending a mangled AWS4-HMAC header. By providing only the username and a following slash (/), the server will successfully find a username, which triggers the successful anypass authentication process, but the server will fail to find the expected SignedHeaders entry, resulting in an index-out-of-bounds error that stops the code from reaching the session cleanup. Together, these issues make it trivial to authenticate as any known or guessable user (e.g., crushadmin), and can lead to a full compromise of the system by obtaining an administrative account.

CVE更新日: 2025-04-03 20:15:25.373000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2025-04-07

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999660000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-31161について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2025-31161は、ファイル転送ソフトウェアであるCrushFTPにおける認証バイパスの脆弱性です。この脆弱性は、「Unauthenticated HTTP(S) port access」とも呼ばれています。CrushFTPのHTTPコンポーネントにおけるAWS4-HMAC（S3互換）認証方式に存在する競合状態（レースコンディション）が原因で発生します。サーバーがパスワードを要求せずにlogin_user_pass()を呼び出してユーザーの存在を確認する際に、認証の隙間が生じます。細工されたAWS4-HMACヘッダーを送信することで、攻撃者は有効な認証情報なしに既知または推測可能なユーザー（例: crushadmin）として認証をバイパスし、セッションを乗っ取ることが可能になります。

1.1 影響

この脆弱性が悪用されると、認証されていない攻撃者が管理レベルのアクセス権を取得し、システムを完全に侵害する可能性があります。具体的には、ファイルのアクセス、悪意のあるコンテンツのアップロード、追加ユーザーの作成、データの窃取、ランサムウェアの実行などが行われる危険性があります。

1.2 深刻度

CVSS v3.1のベーススコアは9.8（緊急度：Critical）と評価されています。 この脆弱性はCISAの既知の悪用されている脆弱性（Known Exploited Vulnerabilities: KEV）カタログにも追加されており、実社会での悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、特定のOSバージョンではなく、CrushFTPソフトウェア自体に影響します。

2.2 影響を受ける設定

以下のCrushFTPのバージョンが影響を受けます。

  • CrushFTP 10 (バージョン 10.0.0 から 10.8.3 まで)
  • CrushFTP 11 (バージョン 11.0.0 から 11.3.0 まで)

特に、HTTPまたはHTTPS経由で公開されているCrushFTPサーバーがリモートからの攻撃の対象となります。DMZプロキシインスタンスが使用されていない場合、crushadminアカウントの乗っ取りが発生する可能性があります。

3. 影響を受けた時の兆候

  • 不審な認証試行や不正アクセスログの増加
  • 既知の悪用手法と一致するログパターン
  • AWS4-HMACヘッダーで使用された認識されない認証情報の検出
  • MeshCentralエージェントやTgBotバイナリなどの、通常とは異なるプロセスやマルウェアの展開といった攻撃後の活動の兆候

4. 推奨対策

4.1 本対策

影響を受けるユーザーは、直ちにCrushFTPを以下のバージョン以降にアップグレードしてください。

  • CrushFTP 10 の場合は 10.8.4 以降
  • CrushFTP 11 の場合は 11.3.1 以降

4.2 暫定回避策（緩和策）

  • ネットワークセグメンテーションの実装: 脆弱なサービスへのアクセスを制限し、影響範囲を最小限に抑えます。
  • DMZプロキシインスタンスの利用: サービスを隔離することで、直接的な攻撃からの保護を強化できます。
  • ログの監視強化: 不正なアクセス試行や異常なパターンを監視し、早期に検出することで対応時間を短縮します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る