Sicherheitslücke in CrushFTP: Details und Maßnahmen

MÜNCHEN (IT BOLTWISE) – Die Sicherheitslücke in der Datentransfersoftware CrushFTP hat in der IT-Welt für Aufsehen gesorgt. Nachdem Angriffe auf diese Schwachstelle bekannt wurden, hat CrushFTP nun einen detaillierten CVE-Eintrag veröffentlicht, der die technischen Hintergründe und Risiken erläutert.

Die kürzlich entdeckte Sicherheitslücke in CrushFTP hat die IT-Sicherheitsgemeinschaft alarmiert. Die Schwachstelle, die eine Umgehung der Authentifizierung ermöglicht, wurde bereits aktiv ausgenutzt. CrushFTP hat daraufhin einen umfassenden CVE-Eintrag veröffentlicht, der die technischen Details der Lücke beschreibt.

Die Schwachstelle betrifft Versionen von CrushFTP vor 10.8.4 und 11.3.1 und ermöglicht es Angreifern, das ‘crushadmin’-Konto zu übernehmen, sofern keine DMZ-Proxy-Instanz genutzt wird. Diese Art von Angriff, bekannt als ‘nicht authentifizierter HTTP(s)-Port-Zugang’, wurde bereits im März und April 2025 beobachtet.

Im Kern der Schwachstelle liegt eine Race Condition in der AWS4-HMAC-Autorisierungsmethode des FTP-Servers. Der Server überprüft die Existenz eines Nutzers durch den Aufruf von login_user_pass(), ohne dass ein Passwort erforderlich ist. Dies führt zu einer unvollständigen Session-Authentifizierung, die durch das Senden eines manipulierten AWS4-HMAC-Headers stabiler ausgenutzt werden kann.

Die Autoren der Schwachstellenbeschreibung erklären, dass durch die Angabe eines Nutzernamens und eines nachfolgenden Slashes (‘/’) der Server einen Nutzernamen findet, was den ‘erfolgreich authentifiziert-Prozess’ auslöst. Dies führt zu einem ‘Index-out-of-Bounds’-Fehler, der den Code daran hindert, die Session-Cleanup-Routinen zu erreichen. Dadurch können Angreifer sich als bekannte Nutzer anmelden und das System vollständig kompromittieren.

Die US-amerikanische IT-Sicherheitsbehörde CISA hat den neuen CVE-Eintrag umgehend in ihre Datenbank der bekannten missbrauchten Schwachstellen aufgenommen. IT-Verantwortliche sollten die aktualisierten Softwareversionen schnellstmöglich installieren, um das Risiko einer Kompromittierung zu minimieren.

CrushFTP hat auf seiner Webseite betont, dass Instanzen innerhalb eines Tages eine Benachrichtigung über eine neue Version anzeigen sollten, sofern der Zugriff auf die Update-Server nicht blockiert wurde. Dies unterstreicht die Dringlichkeit, die Sicherheitslücke schnell zu schließen.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Vikye KI -Roboter Angetrieben von Deepseek, Smart Talking Desk Companion mit 1,28 "Bildschirm, Sprachsteuerung, WLAN -Wetteruhr und Bluetooth Music Player

30,50 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

ZOOI Geschenke für Männer, Geburtstagsgeschenk für Männer, Gadgets für Männer, Geschenke für Papa Geschenk Männergeschenk Adventskalender Füllung Männer, Bluetooth Lautsprecher mit Handyständer

20,99 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

QCOQ® Air Tags 4er Pack Schwarz, Schlüsselfinder & Air Tracker Tagg Kompatibel mit Apple Wo ist? App (Nur iOS), Smart Key Finder mit Schlüsselband, Koffer-Tracker für Taschen/Keys, Austauschbarer Akku

29,99 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

169,00 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!