CrushFTP: Umgehung der Authentifizierung (CVE-2025-31161)

Was ist betroffen, was ist zu tun

CrushFTP 10 vor Version 10.8.4 und CrushFTP 11 vor Version 11.3.1 ermöglichen einen Umgehung der Authentifizierung und Übernahme des crushadmin-Kontos (sofern kein DMZ-Proxy-Instanz verwendet wird), wie im März und April 2025 ausgenutzt, bekannt als "Unauthenticated HTTP(S) port access". Ein Race Condition besteht in der AWS4-HMAC-Autorisierungsmethode (kompatibel mit S3) des HTTP-Komponenten des FTP-Servers.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie CrushFTP auf Version 10.8.4, CrushFTP auf Version 11.3.1. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• CrushFTP lt 10..10.8.4
• CrushFTP lt 11..11.3.1

Behoben in

• CrushFTP 10.8.4
• CrushFTP 11.3.1

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Patch einspielen: CrushFTP 10 auf 10.8.4 oder höher und CrushFTP 11 auf 11.3.1 oder höher aktualisieren. Das Update über die integrierte Update-Funktion oder das Vendor-Paket einspielen, den Dienst neu starten und die Versionsanzeige im WebInterface prüfen.
   • Exposition sofort reduzieren: Ist der Patch nicht innerhalb weniger Stunden umsetzbar, den Zugriff auf die HTTP(S)-Listener des WebInterface (häufig 8080/443 — tatsächliche Ports in der Server-Konfiguration prüfen) am Perimeter auf bekannte Partner-IP-Adressen beschränken. Alternativ die Instanz vom Internet trennen.
   • Kompromittierung annehmen und prüfen: Ausnutzungen wurden bereits vor Patch-Verfügbarkeit beobachtet. Folgende Punkte auf unautorisierte Änderungen untersuchen:
     • Benutzerdateien unter users/MainUsers/
     • neu angelegte Konten
     • geänderte Berechtigungen
     • neue VFS-Zuordnungen
   • Zugangsdaten rotieren: Kennwörter von crushadmin und allen administrativen Konten zurücksetzen, danach alle übrigen Benutzerkonten. Hinterlegte Zugangsdaten für Backend-Speicher (S3, SMB, SFTP-Ziele) und Dienstkonten ebenfalls rotieren.
   • Aktive Sitzungen beenden: Bestehende Sessions bzw. CrushAuth-Cookies durch einen Dienstneustart invalidieren. Danach die Sitzungs- und Login-Protokolle für den Zeitraum ab März 2025 sichern (Beweissicherung vor Rotation der Logs).
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: CrushFTP als DMZ-Proxy-Instanz vor dem internen Server betreiben. Laut CVE-Beschreibung ist die Übernahme von crushadmin bei DMZ-Proxy-Betrieb nicht möglich. Den internen Server nur aus der DMZ-Instanz erreichbar machen.

   • WAF/IPS-Regel: Requests mit Authorization: AWS4-HMAC-SHA256 verwerfen oder alarmieren, wenn

     • der Credential=-Wert nach dem Benutzernamen direkt mit / endet, oder
     • kein SignedHeaders= enthalten ist.

     Wird die S3-kompatible Schnittstelle nicht genutzt, AWS4-HMAC-Header am Reverse Proxy generell blockieren. Suricata-Skizze: alert http any any -> $CRUSHFTP any (msg:"CVE-2025-31161 AWS4-HMAC ohne SignedHeaders"; http.header; content:"AWS4-HMAC"; nocase; content:!"SignedHeaders"; sid:9000001;).

   • Administrative Schnittstelle: Den Admin-Zugriff in CrushFTP per IP-Restriktion auf ein Management-Netz begrenzen. crushadmin umbenennen oder durch personalisierte Admin-Konten ersetzen, um leicht erratbare Benutzernamen zu vermeiden.

   • Endpunkt-Härtung: Den CrushFTP-Dienst unter einem nicht privilegierten Dienstkonto betreiben, nicht als SYSTEM/root. Per EDR/AppLocker verhindern, dass der Java-Prozess Shells oder Skript-Interpreter startet.

   • Ausgehender Verkehr: Egress des FTP-Servers auf benötigte Ziele beschränken. Das erschwert das Nachladen von Remote-Management-Tools und die Datenexfiltration.

3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Reverse-Proxy-/WAF-Logs: Requests mit AWS4-HMAC-SHA256 Credential=<user>/ ohne nachfolgende Signaturfelder, besonders mit <user> = crushadmin. Header-Logging muss dafür aktiviert sein. Grep-Skizze: grep -E 'AWS4-HMAC-SHA256 Credential=[A-Za-z0-9_.-]+/[",]' proxy.log.
   • CrushFTP-Applikationslog (CrushFTP.log, Session-Logs): Erfolgreiche Logins ohne vorherige Kennwortprüfung, kurz darauf Aufrufe von /WebInterface/function/ mit command=getUserList, setUserItem oder setServerItem. Ebenfalls verdächtig: Admin-Logins von unbekannten Quell-IPs.
   • Integritätsüberwachung: Datei-Änderungen unter users/MainUsers/*/user.XML sowie neue Benutzerverzeichnisse. Unter Windows: Sysmon EID 11; unter Linux: auditd-Watch -w <crushftp>/users/ -p wa -k crushftp_users.
   • EDR-Prozessabstammung: java/CrushFTPService startet cmd.exe, powershell.exe, sh oder bash. KQL: DeviceProcessEvents | where InitiatingProcessFileName in~ ("java.exe","javaw.exe","CrushFTPService.exe") and FileName in~ ("cmd.exe","powershell.exe","rundll32.exe").
   • Netzwerk-Telemetrie (Zeek): Ungewöhnlich große ausgehende Transfers vom FTP-Server und neue Verbindungen zu Remote-Management- oder Tunneling-Diensten. Ein plötzlicher Anstieg von HTTP-401/200-Wechseln auf dem WebInterface kann auf Race-Condition-Versuche hinweisen.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

CrushFTP 10 vor Version 10.8.4 und CrushFTP 11 vor Version 11.3.1 ermöglichen einen Umgehung der Authentifizierung und Übernahme des crushadmin-Kontos (sofern kein DMZ-Proxy-Instanz verwendet wird), wie im März und April 2025 ausgenutzt, bekannt als "Unauthenticated HTTP(S) port access". Ein Race Condition besteht in der AWS4-HMAC-Autorisierungsmethode (kompatibel mit S3) des HTTP-Komponenten des FTP-Servers. Der Server überprüft zuerst das Vorhandensein des Benutzers durch einen Aufruf von login_user_pass() ohne Passwortanforderung, was die Authentifizierung der Sitzung durch den HMAC-Verifikationsprozess ermöglicht und bis zur erneuten Überprüfung der Benutzerverifikation durch den Server. Die Schwachstelle kann weiter stabilisiert werden, wodurch das Auslösen einer Race Condition nicht mehr notwendig ist, indem ein verfälschter AWS4-HMAC-Header gesendet wird. Durch Bereitstellung nur des Benutzernamens und eines folgenden Schrägstrichs (/) findet der Server erfolgreich einen Benutzernamen, was den erfolgreichen anypass-Authentifizierungsprozess auslöst, aber der Server kann die erwartete SignedHeaders-Eintrag nicht finden, was zu einem Index-out-of-bounds-Fehler führt und verhindert, dass der Code zur Sitzungsaufbereitung gelangt. Zusammen machen diese Probleme es trivial, sich als beliebiger bekannter oder erratbarer Benutzer (z.B. crushadmin) anzumelden, was zu einem vollständigen Kompromiss des Systems durch Erlangen eines Administrationskontos führen kann.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: NCSC NZ (CC BY 4.0), pwn.watch, NVD (NIST), cvelistv5, CISA KEV Catalog, CVE.org (MITRE)

Hersteller und Produkte

• CrushFTP CrushFTP

Weakness-Klassen (CWE)

• CWE-305Authentication Bypass by Primary Weakness

  Base

  The authentication algorithm is sound, but the implemented mechanism can be bypassed as the result of a separate weakness that is primary to the authentication error.

  Eintrag bei MITRE CWE-305

Quellen & Referenzen

• outpost24.comblog/crushftp-auth-bypass-vulnerabilityHinweis Dritter
• crushftp.comcrush11wiki/Wiki.jsp?page=UpdateHerstellerhinweis
• projectdiscovery.ioblog/crushftp-authentication-bypassExploit, Hinweis Dritter
• darkreading.comvulnerabilities-threats/disclosure-drama-clouds-crushftp-vulner…Presse
• huntress.comblog/crushftp-cve-2025-31161-auth-bypass-and-post-exploitationExploit, Hinweis Dritter
• attackerkb.comtopics/k0EgiL9Psz/cve-2025-2825/rapid7-analysisExploit, Hinweis Dritter
• infosecurity-magazine.comnews/crushftp-flaw-exploited-disclosurePresse
• vicarius.iovsociety/posts/cve-2025-31161-detect-crushftp-vulnerabilityExploit, Hinweis Dritter
• vicarius.iovsociety/posts/cve-2025-31161-mitigate-crushftp-vulnerabilityMitigation, Hinweis Dritter
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2025-31161government-resource, US-Behörde
• pwn.watchpwn.watch: CrushFTP: Authentication Bypass Vulnerabilitypwn-watch
• crushftp.comCrushFTP advisory: CrushFTPpwn-watch
• NVD (NIST)NVD: CVE-2025-31161pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch