Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-420

CVE-2025-54309

CrushFTP'de AS2 doğrulama hatası yönetici erişimine yol açıyor

CrushFTP

Kritik 9,0 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
467 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 22 Tem 2025 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 12 Ağu 2025.

Yönetici özeti

Dosya aktarım sunucusunuz internetten erişilebiliyorsa, saldırganlar kimlik bilgisi olmadan sisteme yönetici olarak girebilir. Zafiyet şu anda aktif olarak istismar edilmektedir, bu nedenle güncelleme gecikmeden yapılmalıdır. Saklanan dosyaların çalınması veya değiştirilmesi ciddi veri ve itibar kaybına yol açabilir.

ÖzetTürkçe

CrushFTP 10 sürümünde 10.8.5 öncesi ve CrushFTP 11 sürümünde 11.3.4_23 öncesi, DMZ proxy özelliği kullanılmadığında AS2 doğrulamasını hatalı işlemektedir. Bu hata, uzaktan saldırganların HTTPS üzerinden yönetici erişimi elde etmesine imkân tanır. Zafiyet CWE-420 (korumasız alternatif kanal) olarak sınıflandırılmıştır ve Temmuz 2025'te gerçek saldırılarda istismar edilmiştir. DMZ proxy kullanmayan CrushFTP 10 ve 11 kurulumları etkilenir.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış bir saldırgan sunucuda yönetici yetkisi kazanabilir; bu da sunucudaki dosyalara erişim, bu dosyaların değiştirilmesi ve hizmetin kesintiye uğratılması anlamına gelir. CVSS puanı 9,0 (kritik) olup zafiyet CISA KEV listesindedir.

Kaynaktaki açıklama (İngilizce)

CrushFTP 10 before 10.8.5 and 11 before 11.3.4_23, when the DMZ proxy feature is not used, mishandles AS2 validation and consequently allows remote attackers to obtain admin access via HTTPS, as exploited in the wild in July 2025.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. CrushFTP 10 kullanıyorsanız 10.8.5 veya sonraki bir sürüme, CrushFTP 11 kullanıyorsanız 11.3.4_23 veya sonraki bir sürüme yükseltin. Üretici
  2. Güncelleme hemen yapılamıyorsa, üretici talimatlarındaki hafifletme önlemlerini uygulayın; önlemler mevcut değilse ürünün kullanımını durdurun. CISA
  3. Güncellemeden önce sunucunun HTTPS arayüzüne internetten erişimi güvenlik duvarı ile kısıtlayın veya geçici olarak kapatın. Genel öneri
  4. Güncellemeden sonra yönetici hesaplarını, yeni oluşturulmuş kullanıcıları ve yapılandırma değişikliklerini kontrol ederek olası bir ele geçirmeyi araştırın. Genel öneri

Ek önlemler

  • Yönetim arayüzünü yalnızca güvenilir IP adreslerine veya VPN üzerinden erişilebilir hale getirin. Genel öneri
  • Temmuz 2025 ve sonrasına ait erişim ve yönetici oturum kayıtlarını inceleyerek beklenmeyen yönetici girişlerini tespit edin. Genel öneri
  • Dosya aktarım sunucusunu ağın geri kalanından ayırın ve ürün güncellemelerini düzenli takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
CrushFTP ≥ 10, < 10.8.5 10.8.5
≥ 11, < 11.3.4_23 11.3.4_23

Kaynaklar7 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.