CVE-2025-54309

Vulnerabilidade crítica no CrushFTP que permite a um atacante remoto, sem autenticação prévia, obter acesso de administrador via a interface web HTTPS do produto. A falha foi explorada como zero-day a partir de 17-18 de julho de 2025, antes da publicação de qualquer patch público, e está no catálogo KEV da CISA com prazo de remediação de 12/08/2025.

A CVE-2025-54309 é classificada pela CISA como CWE-420 (Unprotected Alternate Channel). O problema está ligado à validação do protocolo AS2 dentro do handler HTTP(S) do CrushFTP. Segundo o CEO da CrushFTP, Ben Spink, uma correção anterior — feita para outro bug relacionado a AS2 em HTTP(S) — havia bloqueado por acaso essa mesma falha, sem que a equipe soubesse que os dois problemas estavam conectados. Uma mudança de código subsequente reabriu o caminho de exploração original.

O mecanismo exato de bypass não foi detalhado publicamente pelo fornecedor nem pelas fontes analisadas, mas o resultado documentado é a criação ou modificação indevida da conta interna "default" do CrushFTP, elevando-a a privilégios administrativos. Isso indica que a rota AS2 é usada como canal alternativo para manipular estado de autenticação/autorização sem passar pelo fluxo normal de login administrativo — daí a classificação como "unprotected alternate channel".

O vetor de ataque é HTTP(S), ou seja, a mesma porta usada pela interface web comum do produto. A exploração não depende de o recurso DMZ proxy estar habilitado; pelo contrário, o problema ocorre justamente quando o DMZ proxy NÃO é usado, conforme a descrição oficial.

O ataque ocorre pela interface web HTTP(S) do CrushFTP, sem necessidade de credenciais válidas (PR:N no vetor CVSS), embora o AC:H sugira que reproduzir a condição exigiu engenharia reversa do código do fornecedor — não é uma falha trivialmente óbvia a partir da descrição. A CrushFTP afirma que atacantes reverse-engenheraram uma alteração de código relacionada a AS2 e, a partir dela, deduziram como acionar o bug antigo que havia sido bloqueado por acidente.

CrushFTP detectou exploração ativa em massa a partir das 9h (CST) de 18 de julho de 2025, com indícios de que a campanha pode ter começado um dia antes, durante a madrugada, quando administradores normalmente não monitoram os sistemas. O resultado da exploração é acesso administrativo completo ao painel do CrushFTP, tipicamente via manipulação da conta interna "default" (alteração do campo last_logins, criação de contas admin com identificadores longos e aleatórios como 7a0d26089ac528941bf8cb998d97f408m). Após obter esse acesso, os atacantes reutilizaram scripts de campanhas anteriores para implantar ferramentas adicionais no servidor comprometido.

Instâncias configuradas com o recurso DMZ proxy da CrushFTP na frente do servidor principal não seriam afetadas, segundo o fornecedor — mas essa é uma afirmação do vendor, não confirmada de forma independente. A Rapid7 alerta explicitamente contra depender do DMZ como controle de mitigação suficiente, por não haver validação independente de que ele bloqueia o vetor de forma consistente.

A correção definitiva é atualizar para CrushFTP 10.8.5 (ramo 10.x) ou 11.3.4_23 (ramo 11.x); o fornecedor recomenda ir direto para 11.3.5+ para simplificar o controle de versão, já que qualquer build 11.3.5 ou posterior está fora do intervalo vulnerável. Nas horas seguintes à divulgação, as versões mais recentes disponíveis eram 11.3.4_26 e 10.8.5_12. Aplicar o patch deve ser tratado como emergência, sem esperar ciclo normal de manutenção — há exploração ativa confirmada e o item está no KEV da CISA.

Se a atualização imediata não for possível, o fornecedor recomenda: restringir IPs que podem acessar a administração, usar whitelist de IPs para acesso ao servidor, e habilitar atualizações automáticas. Usar uma instância DMZ do CrushFTP na frente do servidor principal é apontado pelo fornecedor como barreira eficaz, mas a Rapid7 recomenda não confiar nisso como controle único — trate como mitigação parcial, não substituta do patch.

Para ambientes que suspeitam de comprometimento: restaurar a conta "default" a partir de um backup anterior a 16 de julho de 2025 (localizado em CrushFTP/backup/users/MainUsers/default, arquivo zip que exige 7-Zip/WinRAR/macOS/WinZip para extração — o unzip nativo do Windows não funciona), revisar logs de upload/download por atividade anormal, e usar a função de validação de hash MD5 na aba "About" do produto para detectar código malicioso injetado, já que os atacantes chegaram a falsificar o número de versão exibido para dar falsa sensação de segurança.

Indicadores de comprometimento documentados pelo fornecedor: modificações inesperadas em MainUsers/default/user.XML, especialmente edições recentes ou um campo last_logins alterado na conta interna "default"; a conta "default" aparecendo com acesso de administrador; nomes de usuário administrativos novos e não reconhecidos, frequentemente strings longas e aleatórias (ex.: 7a0d26089ac528941bf8cb998d97f408m); botões de administração aparecendo para usuários que antes eram comuns; e número de versão exibido de forma falsa/inconsistente (os atacantes manipularam esse campo para mascarar o comprometimento). O fornecedor recomenda comparar hashes MD5 pela função de validação na aba "About" para detectar arquivos de código adulterados, e revisar relatórios de upload/download por transferências anômalas no período próximo a 17-18 de julho de 2025.