管理者権限奪われる「CrushFTP」脆弱性の悪用に注意喚起 - 米当局

米当局は、ファイル転送ツール「CrushFTP」における既知の脆弱性が悪用されているとして注意喚起を行った。脆弱性は3月のアップデートで修正されている。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2025年4月7日、「CrushFTP」に判明した脆弱性「CVE-2025-31161」を「悪用が確認された脆弱性カタログ（KEV）」へ追加した。

すでに悪用されていることから、米国の行政機関に対し、指定した期間内に同脆弱性へ対応するよう促すとともに、広く悪用されるおそれがあるとして利用者に注意を呼びかけた。

「CVE-2025-31161」は、競合や不適切なエラー処理に起因し、認証のバイパスが可能となる脆弱性。共通脆弱性評価システム「CVSSv3.1」においてベーススコアは「9.8」と評価されており、重要度は「クリティカル（Critical）」とレーティングされている。

「crushadminアカウント」などを乗っ取られ、管理者権限でシステムにアクセスされるおそれがある。3月21日にリリースされた「CrushFTP 10.8.4」および「同11.3.1」にて修正された。

脆弱性の発見者と開発者でアップデートの実施後、一定期間を経て脆弱性を公表する方向で調整を行っていたが、アップデートリリース後に別のベンダーが、開発者へ事前に問い合わせることなく、「CVE-2025-2825」として公表。脆弱性の分析が進み、概念実証（PoC）が公開され、その後悪用されている。

（Security NEXT - 2025/04/08 ）ツイート