「CrushFTP」脆弱性、すでに被害も - 開示過程でトラブル

「CVE-2025-31161」は、別のCVE番号「CVE-2025-2825」が割り当てられて公開されるなど混乱が生じている。開発者は開示過程と無関係に割り当てられたと説明している。

同脆弱性を発見し、開発者へ報告していたOutpost24は、脆弱性が公開に至ったタイムラインを公開。3月13日にはMITREへCVE番号を申請し、同月18日より開発者と連絡を取ってアップデートのリリースから脆弱性の開示まで、アップデートの時間を確保できるよう調整を進めていたことを明らかにした。

同脆弱性は、3月26日にVulnCheckより「CVE-2025-2825」として公開されたが、事前に開発者などへ進行中の開示プロセスについて確認なども行われおらず、Outpost24のクレジットもなく、事後的に連絡を受けたものだと説明。

MITREがOutpost24へCVE番号を割り当てたのは3月27日だったが、翌日28日ごろより脆弱性の情報が広がって解析が進み、実証コードなどが公開されて悪用されるなど、開示を検討する過程で懸念していた状態になったと非難。MITREに対して苦情を申し立て、回答を待っている段階だという。

（Security NEXT - 2025/04/04 ）ツイート