Trusted DesignCVE-2025-54309 の詳細
CVEの情報
説明:
CrushFTP 10 before 10.8.5 and 11 before 11.3.4_23, when the DMZ proxy feature is not used, mishandles AS2 validation and consequently allows remote attackers to obtain admin access via HTTPS, as exploited in the wild in July 2025.
CVE更新日: 2025-07-18 19:15:25.353000
CVSSバージョン: 3.1
CVSSスコア: 9.0
KEVの情報
KEV更新日: 2025-07-22
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.951120000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2025-54309に関する調査結果を以下にまとめます。
1. 脆弱性の概要
CrushFTPにおける認証バイパスの脆弱性（CVE-2025-54309）は、AS2検証の不適切な処理に起因します。これにより、リモートの攻撃者がHTTPS経由で認証をバイパスし、管理者権限を取得する可能性があります。この脆弱性は、認証バイパスからリモートコマンド実行に至る可能性があります。
1.1 影響
攻撃者は認証をバイパスして管理レベルのアクセスを獲得できます。 この脆弱性を悪用することで、攻撃者はサーバーの設定ダンプ、セッションログ（クッキーを含む）、内部サービスのクリアテキストおよびハッシュ化された認証情報へのアクセス、新しい管理者アカウントの作成、仮想ファイルシステム（VFS）をルートディレクトリにマウントすることなどが可能です。 また、機密データの窃取、データ搾取攻撃につながる可能性があります。 さらに、リモートからの任意のコード実行（RCE）の可能性も指摘されています。
1.2 深刻度
CVSSv3スコアは9.0であり、「Critical（クリティカル）」と評価されています。 奇安信CERTではCVSS 3.1スコアを9.0、脅威タイプを「身份认证绕过（認証バイパス）」、利用可能性を「高」と評価しています。 啓明星辰グループVSRCでは、CVSSスコアを9.8、脆弱性等級を「严重（重大）」と評価しています。
2. 対象となる環境
CrushFTPのバージョン10および11に影響があります。
2.1 影響を受けるOSバージョン
この脆弱性はCrushFTPのファイル転送ソフトウェアに存在し、すべてのプラットフォームに影響します。
2.2 影響を受ける設定
DMZプロキシ機能が無効になっているCrushFTPインスタンスが影響を受けます。 DMZプロキシ機能が有効になっているエンタープライズ顧客は影響を受けません。
3. 影響を受けた時の兆候
最も一般的な兆候は、デフォルトのユーザーアカウントに対する不正な変更です。 具体的な指標としては、
MainUsers/default/user.XMLファイルに新しいlast_loginsフィールドが含まれていること、default/user.XMLファイルの変更日が最近であること、およびデフォルトユーザーに管理者アクセスが付与されていることが挙げられます。 攻撃の兆候には、異常なランダムな管理者アカウントの作成、バージョン番号表示の改ざん、インターフェースボタンの非表示などが含まれます。4. 推奨対策
4.1 本対策
以下のバージョンにアップデートしてください。
4.2 暫定回避策（緩和策）
参照したサイト