Descripción
CrushFTP contiene una vulnerabilidad de canal alternativo sin protección. Cuando no se utiliza la función de proxy DMZ, gestiona incorrectamente la validación AS2 y, en consecuencia, permite a atacantes remotos obtener acceso de administrador a través de HTTPS.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de crushftp.com crushftp.com/crush11wiki/Wiki.jsp
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-54309
Ver el texto original en inglés (CISA)
CrushFTP Unprotected Alternate Channel Vulnerability
CrushFTP contains an unprotected alternate channel vulnerability. When the DMZ proxy feature is not used, mishandles AS2 validation and consequently allows remote attackers to obtain admin access via HTTPS.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://www.crushftp.com/crush11wiki/Wiki.jsp?page=CompromiseJuly2025 ; https://nvd.nist.gov/vuln/detail/CVE-2025-54309
Otras vulnerabilidades de CrushFTP en el catálogo
- CVE-2025-31161 Vulnerabilidad de omisión de autenticación en CrushFTP Alta 07-04-2025
- CVE-2024-4040 CrushFTP VFS Sandbox Escape Vulnerability Alta 24-04-2024