摘要：近日，CrushFTP 发布更新修复高风险漏洞（CVE-2025-2825），攻击者可以利用该漏洞绕过认证机制，访问高风险接口，可造成敏感信息泄露，上传恶意内容，创建管理员账号等恶意利用。建议您及时开展安全风险自查。

1

漏洞概述

近日，CrushFTP 发布更新修复高风险漏洞（CVE-2025-2825），攻击者可以利用该漏洞绕过认证机制，访问高风险接口，可造成敏感信息泄露，上传恶意内容，创建管理员账号等恶意利用。建议您及时开展安全风险自查。

CrushFTP 是一款多协议、跨平台的企业级文件传输服务器软件，专注于提供安全、高效的文件传输与管理服务。 支持 FTP、FTPS、SFTP、HTTP、HTTPS、WebDAV 等多种文件传输协议。

据描述，CrushFTP 支持多种协议, 自第10版起，CrushFTP 还实现了与 S3 兼容的 API 访问，允许客户端使用与 Amazon S3 存储服务相同的 API 格式与其进行交互。服务器从凭证字段（Credential field）中提取 AccessKey 值以识别用户，然后验证签名（Signature）以确保请求的真实性。然而，CrushFTP 在实现这一机制时存在一个关键缺陷。由于其低复杂度、基于网络的攻击向量以及潜在的影响，获得了 CVSS 评分 9.8（严重）。CrushFTP 在版本 11.3.1 解决了此漏洞。

漏洞影响的产品和版本：

10.0.0

11.0.0

2

漏洞复现

3

资产测绘

据daydaymap数据显示互联网存在33,112个资产，国内风险资产分布情况如下：

4

解决方案

临时缓解方案：

公网部署需要添加限制，允许IP白名单访问。

升级修复：

5

来源：科技大鹅童