CrushFTP の認証回避の脆弱性（CVE-2025-31161）

何が起きた

ファイル転送サーバーの CrushFTP で、HTTP の認証（AWS4-HMAC 方式）の処理に不備があり、パスワードを知らなくても、知られている名前や推測できる名前（crushadmin など）の利用者としてログインできてしまう弱点が見つかりました。管理者のアカウントを奪われると、システム全体を乗っ取られるおそれがあります。この弱点は実際の攻撃に使われたことが確認されていて、ランサムウェアの攻撃に使われたことも知られています。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CrushFTP 10 の 10.8.4 より前と、CrushFTP 11 の 11.3.1 より前を使っている組織です。CrushFTP によると、DMZ プロキシのインスタンスを前に置いている場合は、この攻撃は成り立たないとされています。なお CrushFTP は公開した時点では、実際の悪用は把握していないと説明していましたが、NVD の説明では 2025 年 3 月と 4 月に悪用されたとされています。

何をすればいい

CrushFTP を 10.8.4 以降、または 11.3.1 以降に更新されているか確認してください。CrushFTP は、インターネットに公開しているサーバーでは最新の状態を保つことが大切だとしています。あわせて CrushFTP の公式の案内を確認してください。

やることチェックリスト

• CrushFTP 10 は 10.8.4 以降に更新する
• CrushFTP 11 は 11.3.1 以降に更新する
• 更新の通知を受け取れる状態にする

用語メモ

ランサムウェア 用語集で見る

ファイルを使えない状態にして、元に戻すことと引きかえにお金を要求する不正なプログラムです。

DMZ プロキシ

インターネットと社内のサーバーの間に置き、外からの通信をいったん受け止める中継役のサーバーです。

認証 用語集で見る

利用者が本人かどうかを確かめる仕組みのことです。