CrushFTP – IoT OT Security News

CrushFTP の脆弱性 CVE-2024-4040：1,400 台以上のサーバが危険に晒されている

Over 1,400 CrushFTP Internet-Facing Servers Vulnerable To Cve-2024-4040 Bug

2024/04/26 SecurityAffairs — 1,400台以上の CrushFTP インターネット接続サーバが、深刻な脆弱性 CVE-2024-4040 を狙う攻撃に対して脆弱であることが判明した。CrushFTP に存在する、VFS サンドボックス・エスケープの脆弱性 CVE-2024-4040 は、Airbus CERT の Simon Garrelou により発見されたものだ。

CISA KEV 警告 24/04/24：Cisco と CrushFTP の深刻な脆弱性に 5月1日までに対処せよ！

CISA Added Critical Vulnerabilities in Cisco Products and CrushFTP to KEV

2024/04/24 SecurityOnline — 米国の Cybersecurity Infrastructure Security Agency (CISA) が連邦政府機関に対して発動したのは、Cisco 製品で発見された２件深刻な脆弱性と、ファイル転送ツール CrushFTP の脆弱性に対して、最優先でパッチを適用すべきという警告である。これらの問題の緊急性は、国家の支援を受けたハッカーによる積極的な悪用に起因しており、脅威の状況の深刻さを強調している。

CrushFTP の脆弱性 CVE-2024-4040 が FIX：すでに悪用が観測されている

CVE-2024-4040: CrushFTP Users Targeted in Zero-Day Attack Campaign

2024/04/22 SecurityOnline — 人気のエンタープライズ・ファイル転送ソフトウェア CrushFTP のユーザーを標的とする、深刻な脆弱性が新たに出現した。このゼロデイ脆弱性 CVE-2024-4040 (CVSS：7.7) は、すべてのサポート対象プラットフォームにおいて、バージョン 10.7.1／11.1.0 未満を使用している組織に対して深刻なリスクをもたらす。この脆弱性により、最小限の権限しか持たない攻撃者は、VFS (Virtual File System) のサンドボックスをエスケープし、権限の及ばない機密ファイルへのアクセスを可能にする。

CrushFTP のゼロデイ脆弱性が FIX：標的型攻撃での悪用が確認されている

Critical Update: CrushFTP Zero-Day Flaw Exploited in Targeted Attacks

2024/04/20 TheHackerNews — 企業向けファイル転送ソフトウェアである、CrushFTP に脆弱性が発見された。CrushFTP はユーザーに対して、最新バージョンへのアップデートを急ぐよう呼びかけている。CrushFTP は 4月19日に公開したアドバイザリで、「CrushFTP v11 (11.1 以下) の脆弱性を悪用する攻撃者は、VFS をエスケープし、システム・ファイルをダウンロードする可能性を持つ。この脆弱性は、v11.1.0 で修正された」と説明している。

CrushFTP の脆弱性 CVE-2023-43177：PoC エクスプロイトが公開

Exploit for CrushFTP RCE chain released, patch now

2023/11/18 BleepingComputer — CrushFTP エンタープライズ・スイートに存在する、深刻なリモート・コード実行の脆弱性に対する PoC エクスプロイトが公開された。この脆弱性の悪用に成功した未認証の攻撃者は、サーバ上のファイルにアクセスし、コードを実行し、プレーンテキストのパスワードを取得できるようになる。この脆弱性は、2023年8月に Converge のセキュリティ研究者により発見され、CVE-2023-43177 として追跡されている。この報告を受けた開発者は、一晩で修正を行い、CrushFTP 10.5.2 をリリースした。