「CrushFTP」に認証回避の脆弱性 - 早急にアップデートを

ファイル転送サーバ「CrushFTP」に認証をバイパスできる脆弱性が明らかとなった。早急にアップデートを実施するよう呼びかけられている。

「同11.3.0」「同10.8.3」および以前のバージョンに脆弱性「CVE-2025-2825」が明らかとなったもの。細工したリクエストにより、認証を必要とすることなくアクセスが可能となる。

CVE番号を採番したVulnCheckでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」と評価。重要度を「クリティカル（Critical）」とレーティングしている。

セキュリティアドバイザリが公開された3月21日の時点で脆弱性の悪用は確認されていないとしており、同ソフトウェアで「DMZ機能」を使用している場合は影響を受けないとしている。

開発チームは、「同11.3.1」「同10.8.4」にて同脆弱性を解消しており、早急にアップデートを実施するよう利用者に注意を呼びかけている。

「CrushFTP」に関連する脆弱性としては、2024年4月に公表された「CVE-2024-4040」は悪用が確認されている。また同年11月には、アカウント侵害が可能となる「CVE-2024-53552」なども判明している。

（Security NEXT - 2025/03/27 ）ツイート