0day в CrushFTP: хакерам открыт доступ к системным файлам

Пользователям ПО для передачи файлов CrushFTP настоятельно рекомендуется обновиться до последней версии после обнаружения уязвимости, которая стала объектом целенаправленной эксплуатации.

Компания CrushFTP предупредила о наличии уязвимости нулевого дня ( Zero-Day ) в версиях CrushFTP v11 до 11.1. Проблема заключается в возможности пользователей выйти за пределы виртуальной файловой системы (Virtual File System, VFS ) и загрузить системные файлы. Уязвимость была устранена в версии 11.1.0.

Компании, использующие CrushFTP в демилитаризованных зонах (Demilitarized Zone, DMZ), могут быть защищены от подобных атак. Однако остальным пользователям рекомендуется срочно установить обновление.

Уязвимость была обнаружена Саймоном Гаррелом из Airbus CERT, однако на данный момент ещё не получила официальный идентификатор CVE.

По информации компании CrowdStrike , уже зафиксированы случаи целенаправленного использования недостатка против американских организаций. Предполагается, что активность злоумышленников имеет политическую мотивацию.

В CrushFTP подтвердили, что компания оперативно отреагировала на сообщение о проблеме, внедрив исправление в течение нескольких часов после получения уведомления. Все версии CrushFTP v10 теперь защищены обновлением 10.7.1, а версии v11 – обновлением 11.1. Пользователи старой версии v9 могут получить обновление через программу расширенной поддержки.