【漏洞通告】CrushFTP身份验证绕过漏洞(CVE-2025-2825)

发布于 作者:

【漏洞通告】CrushFTP身份验证绕过漏洞(CVE-2025-2825)

原创 NS-CERT 绿盟科技CERT 2025-03-31 17:11

通告编号:NS-2025-0019

2025-03-31

TAG：

CrushFTP、身份验证绕过、CVE-2025-2825
漏洞危害：

攻击者利用此漏洞，可实现身份验证绕过。 
版本： 1.0

1

漏洞概述

近日，绿盟科技CERT监测到CrushFTP发布安全公告，修复了CrushFTP身份验证绕过漏洞(CVE-2025-2825)；由于对身份验证标头的不当处理，未经身份验证的攻击者可以通过构造特制的HTTP请求绕过身份验证，从而获取管理权限或进一步执行恶意操作。CVSS评分9.8，目前漏洞细节与PoC已公开，请相关用户尽快采取措施进行防护。

CrushFTP是一款支持FTP, FTPS, SFTP, HTTP, HTTPS, WebDAV and WebDAV SSL等协议的跨平台FTP服务器软件。

参考链接：

https://www.crushftp.com/crush11wiki/Wiki.jsp?page=Update

SEE MORE →****

2影响范围

受影响版本

  • 10.0.0 <= CrushFTP <= 10.8.3

  • 11.0.0 <= CrushFTP <= 11.3.0

注：若用户安装了CrushFTP的DMZ功能则不受影响。

不受影响版本

  • CrushFTP >= 10.8.4

  • CrushFTP >= 11.3.1

3漏洞防护

3.1 官方升级

目前官方已发布新版本修复此漏洞，请受影响的用户尽快升级防护，下载链接：https://www.crushftp.com/crush11wiki/Wiki.jsp?page=Update

END

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。            

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。            

绿盟科技CERT

∣
微信公众号

绿盟科技CERT公众号.jpg

长按识别二维码，关注网络安全威胁信息