CrushFTP服务器端模板注入漏洞 (CVE-2024-4040) 安全通告

01 漏洞详情

影响组件

CrushFTP是由CrushFTP LLC开发的文件传输服务器软件。CrushFTP的主要用途是提供安全、可靠的文件传输服务。它允许用户通过多种协议（如FTP、SFTP、HTTP、WebDAV等）安全地上传、下载和管理文件。CrushFTP提供了许多安全特性，包括SSL/TLS加密、用户认证、目录权限控制等。CrushFTP被广泛用于企业、教育机构和个人用户之间安全地传输文件。

漏洞描述

近日，奇安信CERT监测到CrushFTP 服务器端模板注入漏洞(CVE-2024-4040)在互联网上公开，由于CrushFTP 存在服务器端模板注入漏洞，未经身份验证的远程攻击者可以逃避虚拟文件系统(VFS)沙箱，绕过身份验证获得管理访问权限，泄露敏感信息或执行代码。目前该漏洞技术细节与PoC已在互联网上公开，鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

02 影响范围

影响版本

CrushFTP v10 < 10.7.1

CrushFTP v11 < 11.1.0

CrushFTP v7、v8、v9全版本

其他受影响组件

无

03 复现情况

目前，奇安信威胁情报中心安全研究员已成功复现CrushFTP 服务器端模板注入漏洞(CVE-2024-4040)，截图如下：

04 受影响资产情况

奇安信鹰图资产测绘平台数据显示，CrushFTP 服务器端模板注入漏洞(CVE-2024-4040)关联的全球风险资产总数为25926个，关联IP总数为6661个。全球风险资产分布情况如下：

05 处置建议

安全更新

目前官方已有可更新版本，建议受影响用户升级至最新版本：

CrushFTP v10 >= 10.7.1

CrushFTP v11 >= 11.1.0

下载地址：

https://www.crushftp.com/crush10wiki/Wiki.jsp?page=Update

IOCs

ACCEPT|04/22/2024 17:47:35.660|[HTTPS:21_56874:lookup:443] Accepting connection from: 127.0.0.1:56874POST|04/22/2024 17:47:35.660|[HTTPS:21_44192_81T:anonymous:127.0.0.1] READ:*POST /WebInterface/function/ HTTP/1.1*POST|04/22/2024 17:47:35.660|[HTTPS:21_44192_81T:anonymous:127.0.0.1] READ:*Priority: u=0, i*POST|04/22/2024 17:47:35.660|[HTTPS:21_44192_81T:anonymous:127.0.0.1] READ:*command:zip*POST|04/22/2024 17:47:35.661|[HTTPS:21_44192_81T:anonymous:127.0.0.1] READ:*c2f:vndQ*POST|04/22/2024 17:47:35.661|[HTTPS:21_44192_81T:anonymous:127.0.0.1] READ:*path:/home/researcher/CrushFTP/CrushFTP10/sessions.obj*POST|04/22/2024 17:47:35.661|[HTTPS:21_44192_81T:anonymous:127.0.0.1] READ: *names:/bbbPOST|04/22/2024 17:47:35.661|*POST|04/22/2024 17:47:35.691|[HTTPS:21_56874:anonymous:127.0.0.1] WROTE:*HTTP/1.1 200 OK*

Garrelou开发了一个脚本来扫描CrushFTP日志，以搜索潜在的泄露指标。

https://github.com/airbus-cert/CVE-2024-4040/blob/main/scan_logs.py

06 参考资料

[1]https://www.crushftp.com/crush10wiki/Wiki.jsp?page=Update

[2]https://github.com/airbus-cert/CVE-2024-4040

[3]https://crushftp.com/version11_build.html

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。