CrushFTP の脆弱性（CVE-2024-4040）

何が起きた

ファイル転送サーバーのソフト CrushFTP に、サーバー側テンプレートインジェクションという弱点が見つかり、実際に悪用が確認されています。NVDの説明では、ログインしていない攻撃者がネットワーク経由で、VFS の囲いの外にあるファイルを読んだり、認証を回避して管理者の権限を得たり、サーバー上でプログラムを実行したりできます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVDによると、10.7.1 より前の v10 と、11.1.0 より前の v11 の CrushFTP が、すべてのプラットフォームで対象です。前段に置く DMZ のプロキシについては、CrushFTP の説明が分かれています。v11 の更新ページでは一部は守られるものの完全には守られないとし、v10 の更新ページでは DMZ のプロキシがあれば守られたとしています。

何をすればいい

この弱点の修正版は 10.7.1 と 11.1.0 です。ただし現在の CrushFTP の更新ページの冒頭では、11.0.0 から 11.3.4 と 10.0.0 から 10.8.4 を脆弱としており、v11 は 11.3.4_23 以上、v10 は 10.8.5 以上へすぐに更新するよう案内しています。v11 の更新ページは、DMZ を使っていてもすぐに更新が必要だとしています。メーカー（CrushFTP）の公式の案内も確認してください。

やることチェックリスト

• v11 は 11.3.4_23 以上に更新する
• v10 は 10.8.5 以上に更新する
• DMZ があってもすぐに更新する

用語メモ

テンプレートインジェクション 用語集で見る

画面などを作るための型（テンプレート）に、攻撃者が命令を紛れ込ませて実行させる攻撃です。

VFS

仮想ファイルシステムのことです。利用者ごとに見てよいファイルの範囲を区切るための仕組みです。

DMZ

インターネットと社内のネットワークの間に置く、緩衝地帯のようなネットワークの区画です。