Suivi KEV › CrushFTP

CVE-2025-54309 CrushFTP : vulnérabilité de canal alternatif non protégé

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 22 juillet 2025.

  • Produit : CrushFTP CrushFTP
  • Ajoutée au catalogue : 22 juillet 2025
  • Échéance CISA : 12 août 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-420
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 93 %

CrushFTP contient une vulnérabilité de canal alternatif non protégé. Lorsque la fonctionnalité de proxy DMZ n'est pas utilisée, elle gère mal la validation AS2 et permet par conséquent à des attaquants distants d'obtenir un accès administrateur via HTTPS.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · crushftp.com

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 93,5 %, parmi les 0,2 % de CVE les plus susceptibles d’être exploitées

Versions concernées

  • crushftp : versions ≥ 10.0.0 et < 10.8.5
  • crushftp : versions ≥ 11.0.0 et < 11.3.4_23

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Canal alternatif non protégé (CWE-420) : Le produit protège un canal principal, mais n'utilise pas le même niveau de protection pour un canal alternatif.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

CrushFTP Unprotected Alternate Channel Vulnerability

CrushFTP contains an unprotected alternate channel vulnerability. When the DMZ proxy feature is not used, mishandles AS2 validation and consequently allows remote attackers to obtain admin access via HTTPS.

Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Autres failles exploitées de CrushFTP CrushFTP

  • CVE-2025-31161 — CrushFTP : contournement de l'authentification (7 avril 2025)
  • CVE-2024-4040 — CrushFTP : vulnérabilité d'échappement de sandbox VFS (24 avril 2024)

← Toutes les failles CrushFTP · Suivi KEV