CrushFTP の脆弱性 CVE-2024-4040：1,400 台以上のサーバが危険に晒されている

Over 1,400 CrushFTP Internet-Facing Servers Vulnerable To Cve-2024-4040 Bug

2024/04/26 SecurityAffairs — 1,400台以上の CrushFTP インターネット接続サーバが、深刻な脆弱性 CVE-2024-4040 を狙う攻撃に対して脆弱であることが判明した。CrushFTP に存在する、VFS サンドボックス・エスケープの脆弱性 CVE-2024-4040 は、Airbus CERT の Simon Garrelou により発見されたものだ。

CrushFTP は、安全かつ効率的なファイル転送機能を実現する、ファイル転送サーバ・ソフトウェアである。そこでサポートされるプロトコルは、FTP／SFTP／FTPS／HTTP／HTTPS／WebDAV／WebDAV SSL などであり、各種のネットワーク上でファイルを安全に転送するという役割を担っている。さらに、自動化／スクリプト／ユーザー管理／豊富なカスタマイズ・オプションをなどサポートし、企業や組織の多様なニーズに応えている。


2024年4月に CrushFTP は、同社の FTP ソフトウェアに影響を及ぼす、VFS (Virtual File System) エスケープの脆弱性についてユーザーに通知した。

その一方で Crowdstrike の研究者たちは、野放し状態の標的型攻撃で脅威アクターたちが、この深刻なゼロデイ脆弱性を悪用していることを発見した。

Crowdstrike は 、「2024年4月19日に CrushFTP は、同社の FTP ソフトウェアに存在する VFS エスケープについて通知した。Falcon OverWatch と Falcon Intelligence は、この脆弱性が標的型攻撃で、すでに悪用されていることを確認している」と、Reddit への投稿で述べている。

また、2024年4月24日の時点で Shadowserver のセキュリティ研究者たちは、少なくとも 1,400台の脆弱なサーバがオンライン上に露出していると報告している。脆弱なサーバの大半は米国 (725台) にあり、それに続くのが、ドイツ (115台) 、カナダ (108台) である。

CrushFTP


4月25日に CISA は、CVE-2024-4040 を KEV (Known Exploited Vulnerabilities Catalog) カタログに追加している。

CrushFTP の脆弱性 CVE-2024-4040 ですが、第一報は 2024/04/20 の「CrushFTP のゼロデイ脆弱性が FIX：標的型攻撃での悪用が確認されている」で、第二報は 2024/04/22 の「CrushFTP の脆弱性 CVE-2024-4040 が FIX：すでに悪用が観測されている」となっています。また、4月24日付で CISA KEV にも登録されています。ご利用のチームは、ご注意ください。