- Aktif istismar
- Yama var
- CWE-94
- CWE-1336
CVE-2024-4040
CrushFTP'de kimlik doğrulamasız dosya okuma ve uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 17 Haz 2026
- Açık yaşı
- 918 gün
- Kaydı açan
- directcyber
Yönetici özeti
Dosya aktarım yazılımı CrushFTP'deki bu kritik açık, internetten herhangi birinin şifre bilmeden sunucuyu ele geçirmesine ve içindeki verilere ulaşmasına izin verebilir. Açık halihazırda saldırılarda kullanıldığı için güncelleme gecikmeden yapılmalıdır.
ÖzetTürkçe
CrushFTP'de sunucu tarafı şablon enjeksiyonu (SSTI) zafiyeti bulunuyor. Kimlik doğrulaması yapmayan uzak saldırganlar VFS sanal alanının dışındaki dosyaları okuyabiliyor, kimlik doğrulamayı atlayarak yönetici erişimi elde edebiliyor ve sunucuda kod çalıştırabiliyor. Zafiyet tüm platformlarda 10.0 ile 10.7.1 öncesi ve 11.0 ile 11.1.0 öncesi sürümleri etkiliyor. CISA, açığın aktif olarak istismar edildiğini bildirerek KEV listesine eklemiştir.
Saldırgan ne yapabilir?
Saldırgan sunucudaki dosyaları okuyabilir, yönetici yetkisi kazanabilir ve sunucuyu tamamen ele geçirecek şekilde uzaktan kod çalıştırabilir.
Kaynaktaki açıklama (İngilizce)
A server side template injection vulnerability in CrushFTP in all versions before 10.7.1 and 11.1.0 on all platforms allows unauthenticated remote attackers to read files from the filesystem outside of the VFS Sandbox, bypass authentication to gain administrative access, and perform remote code execution on the server.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- CrushFTP'yi 10.x kolunda 10.7.1 veya üzeri, 11.x kolunda 11.1.0 veya üzeri bir sürüme güncelleyin. Üretici
- Güncelleme hemen yapılamıyorsa üretici talimatlarındaki geçici önlemleri uygulayın; önlem uygulanamıyorsa ürünün kullanımını durdurun. CISA
- Güncelleme sonrasında yönetici hesaplarını, yapılandırmayı ve sunucudaki beklenmedik değişiklikleri kontrol edin. Genel öneri
Ek önlemler
- CrushFTP yönetim arayüzünü internete açmayın; erişimi VPN veya IP kısıtlaması ile yalnızca yetkili ağlara sınırlayın. Genel öneri
- Sunucu ve CrushFTP günlüklerinde olağan dışı dosya okuma istekleri, yeni yönetici hesapları ve şüpheli süreç çalıştırmaları olup olmadığını inceleyin. Genel öneri
- Açığın aktif istismarı nedeniyle güncelleme öncesi dönemde sistemin ele geçirilmiş olabileceğini varsayın ve gerekirse kimlik bilgilerini yenileyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| CrushFTP | ≥ 10.0, < 10.7.1 | 10.7.1 |
| ≥ 11.0, < 11.1.0 | 11.1.0 |
Kaynaklar11 kaynak
- CVE.org kaydı
- NVD kaydı
- crushftp.com/crush11wiki/Wiki.jsp Üretici bülteni
- crushftp.com/crush10wiki/Wiki.jsp Üretici bülteni
- reddit.com/…ituational_awareness_20240419_crushftp_virtual Üçüncü taraf
- rapid7.com/…tp-zero-day-enables-complete-server-compromise Üçüncü taraf
- github.com/airbus-cert/CVE-2024-4040 İstismar kodu ya da analiz
- reddit.com/…850i2/all_versions_of_crush_ftp_are_vulnerable Diğer
- bleepingcomputer.com/…-users-to-patch-exploited-zero-day-immediately Diğer
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
- crushftp.com/crush11wiki/Wiki.jsp Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.