攻击者利用公开的 PoC (CVE-2025-2825) 攻击 CrushFTP 漏洞

Shadowserver 基金会于周一分享称，针对面向互联网的 CrushFTP 实例上的 CVE-2025-2825 漏洞的利用尝试正在进行，攻击者一直在利用公开的 PoC 漏洞代码。

CVE-2025-2825 影响 CrushFTP 版本 10.0.0 至 10.8.3 和 11.0.0 至 11.3.0，这是一个身份验证绕过漏洞。

可能允许未经身份验证的攻击者通过暴露的 HTTP(S) 端口访问 CrushFTP 服务器。

3 月 21 日，该漏洞通过电子邮件私下披露给 CrushFTP 客户。

该信息中没有包含该漏洞的 CVE 编号，并表示该漏洞仅影响该解决方案的第 11 版。

随后，CrushFTP 在安全公告中确认该漏洞也影响 v10，并且如果 CrushFTP 的 DMZ 代理实例到位，则无法利用该漏洞。

除了确认该漏洞是负责任地披露的并且没有迹象表明该漏洞正在被积极利用之外，该公司拒绝透露更多细节。

此后，多家安全公司发布了该漏洞的技术分析及其概念验证漏洞（PoC），攻击者现已开始使用这些漏洞。

据 Shadowserver 称，目前仍有大约 1,500 个面向互联网的未修补实例易受 CVE-2025-2825 攻击。

为了堵住这个漏洞，用户应该更新到 v10.8.4 或 v11.3.1。

尚未更新的用户应该检查其安装是否已被攻击者访问。Rapid7 已分享可能的入侵指标。

Time series · Exploited vulnerabilities · The Shadowserver Foundation

2025 年 3 月 30 日仍有 1512 个未修补的实例受到 CVE-2025-2825 的攻击

Time series · Exploited vulnerabilities · The Shadowserver Foundation

CrushFTP 版本 10.0.0 至 10.8.3 和 11.0.0 至 11.3.0 均受到影响。

请务必检查是否有被感染的迹象并进行更新：

Crush11wiki: Update

我们在易受攻击的 HTTP 报告中分享的 IP 数据，标记为“cve-2025-2825”：

CRITICAL: Vulnerable HTTP Report | The Shadowserver Foundation

CrushFTP 版本 10.0.0 至 10.8.3 和 11.0.0 至 11.3.0 均受影响。请确保更新：

Crush11wiki: Update

树形图地理细分：Tree map · General statistics · The Shadowserver Foundation

CVE-2025-2825 追踪器： Time series · General statistics · The Shadowserver Foundation

事实上，CrushFTP 版本 11 和 10 的安全公告直到今天才列出该缺陷的 CVE 编号，而包含修复程序的 CrushFTP v11.3.1 的更新日志中仍然没有列出。

但该公司首席执行官对漏洞情报公司 VulnCheck（CVE 编号机构）为其分配 CVE 感到非常不满。

CrushFTP 首席执行官上周向 VulnCheck 首席技术官雅各布·贝恩斯 (Jacob Baines) 表示：“真正的 CVE 尚未公布。”

本周一，该公司透露，该漏洞的实际 CVE 为 CVE-2025-31161，是由 Outpost24 的研究人员发现和披露的。

CVE 编号对于追踪漏洞至关重要，因为它们提供了一种标准化的方式来识别和讨论不同工具、平台和团队之间的特定安全漏洞，因此 VulnCheck 的行为是可以理解的。

CVE-2025-2825 的公开条目现在可能会被删除，而 CVE-2025-31161 可能会被用作此漏洞的参考。

如果 CrushFTP 从一开始就提到他们正在等待分配 CVE 编号，这种不必要的混乱就可以轻松避免。