CrushFTP 存在身份验证绕过漏洞(CVE-2025-2825)

近日，CrushFTP 发布更新修复高风险漏洞（CVE-2025-2825），攻击者可以利用该漏洞绕过认证机制，访问高风险接口，可造成敏感信息泄露，上传恶意内容，创建管理员账号等恶意利用。建议您及时开展安全风险自查。

CrushFTP 是一款‌多协议、跨平台的企业级文件传输服务器软件‌，专注于提供安全、高效的文件传输与管理服务‌‌。 支持 FTP、FTPS、SFTP、HTTP、HTTPS、WebDAV 等多种文件传输协议。

据描述，CrushFTP 支持多种协议, 自第10版起，CrushFTP 还实现了与 S3 兼容的 API 访问，允许客户端使用与 Amazon S3 存储服务相同的 API 格式与其进行交互。服务器从凭证字段（Credential field）中提取 AccessKey 值以识别用户，然后验证签名（Signature）以确保请求的真实性。然而，CrushFTP 在实现这一机制时存在一个关键缺陷。由于其低复杂度、基于网络的攻击向量以及潜在的影响，获得了 CVSS 评分 9.8（严重）。CrushFTP 在版本 11.3.1 解决了此漏洞。

漏洞影响的产品和版本：

10.0.0 <= CrushFTP <= 10.8.3

11.0.0 <= CrushFTP <= 11.3.0

据daydaymap数据显示互联网存在33,112个资产，国内风险资产分布情况如下：

临时缓解方案：

公网部署需要添加限制，允许IP白名单访问。

升级修复：

目前官方已发布修复安全补丁