「CrushFTP」脆弱性、すでに被害も - 開示過程でトラブル

ファイル転送ソフトウェア「CrushFTP」において深刻な脆弱性が明らかとなり、すでに被害が発生している。脆弱性を発見し、開発者と調整を進めていたベンダーは、別のベンダーより異なるCVE番号で情報開示された過程について問題を指摘し、被害の拡大にもつながっていると批判した。

HTTPコンポーネントに実装された認証機構「AWS4-HMAC」に競合状態や不適切なエラー処理に起因する脆弱性「CVE-2025-31161」が明らかとなったもの。

既知のユーザーになりすまし、管理者権限でシステムにアクセスすることが可能となるとされており、「crushadminアカウント」などを乗っ取られるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.8」、重要度は「クリティカル（Critical）」と評価されている。すでに脆弱性の悪用も確認されているという。

同脆弱性は、2025年3月21日にリリースされた「CrushFTP 10.8.4」および「同11.3.1」にて修正されている。Windows環境では一部バージョンにおいて更新時に「.jar」ファイルのリネームが失敗するバグが一時発生したがその後修正された。

（Security NEXT - 2025/04/04 ）ツイート