SK-CERT Bezpečnostné varovanie V20250327-01

Dôležitosť	Kritická
Klasifikácia	Neutajované/TLP:CLEAR
CVSS Skóre	9.8

Identifikátor

CrushFTP – kritická bezpečnostná zraniteľnosť

Popis

Vývojári proprietárneho servera na prenos súborov CrushFTP vydali bezpečnostnú aktualizáciu svojho produktu, ktorá opravuje kritickú bezpečnostnú zraniteľnosť. Kritická bezpečnostná zraniteľnosť spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom zaslania špeciálne vytvorenej HTTP požiadavky získať neoprávnený prístup do systému s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému. Podľa informácií od výrobcu zraniteľnosť nezasahuje systémy využívajúce DMZ funkcionalitu.

Dátum prvého zverejnenia varovania

25.3.2025

CVE

CVE-2025-2825

IOC

–

Zasiahnuté systémy

CrushFTP v10 vo verzii staršej ako v10.8.4 CrushFTP v11 vo verzii staršej ako v11.3.1

Následky

Neoprávnený prístup do systému Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby

Odporúčania

Administrátorom a používateľom odporúčame bezodkladne vykonať aktualizáciu zasiahnutých systémov. Po odstránení zraniteľností, ktoré mohli spôsobiť získanie prístupu k citlivým údajom je dobrou praxou zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. V prípade, že aktualizácia systému nie je možná, výrobca odporúča implementovať funkcionalitu DMZ, preveriť všetky dostupné logy kvôli potenciálnym pokusom o neautorizovaný prístup a vykonať bezpečnostný audit infraštruktúry pre prenos súborov.

Zdroje

https://www.rapid7.com/blog/post/2025/03/25/etr-notable-vulnerabilities-in-next-js-cve-2025-29927/ https://nvd.nist.gov/vuln/detail/CVE-2025-2825

« Späť na zoznam