「CrushFTP」旧版に脆弱性 - 攻撃者が最新版を解析して悪用か

ファイル転送ツール「CrushFTP」にあらたな脆弱性が判明した。最新版は影響を受けないが、悪用されたことで旧版に存在した脆弱性が明らかになったという。

「AS2プロトコル」の検証処理に不備があり、認証を必要とすることなくHTTPS経由で管理者権限を奪取できる脆弱性「CVE-2025-54309」が明らかとなったもの。DMZプロキシ機能を有効化している場合は影響を受けない。

CVE番号を採番したMITREでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.0」、重要度を「クリティカル（Critical）」とレーティングしている。

開発元では「AS2プロトコル」に関連する別のバグとして対応していたが、今回悪用が判明した「CVE-2025-54309」のように悪用できる可能性を把握しておらず、リバースエンジニアリングによって第三者により特定され、悪用された可能性があると分析している。

脆弱性は7月1日にリリースしたビルド以前に存在しており、「CrushFTP 11.3.4_23」「同10.8.5」では修正済みであると説明。最新版へアップデートするよう呼びかけている。

（Security NEXT - 2025/07/23 ）ツイート