CrushFTP CrushFTP の脆弱性（CVE-2025-54309）

何が起きた

ファイル転送サーバーの CrushFTP で、DMZ プロキシ機能を使っていない場合に、AS2 という仕組みの確認処理に誤りがあり、HTTPS 経由で攻撃者が管理者の権限を得られる弱点が見つかりました。メーカーは 2025年7月18日 に悪用を確認したと説明しています。NVD の評価では、ネットワーク経由で、ログイン不要の攻撃者が、利用者の操作なしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CrushFTP 10 の 10.8.5 より前の版と、CrushFTP 11 の 11.3.4_23 より前の版を使っている組織が対象です。メーカーによると、本体の前に DMZ 用の CrushFTP を置いている構成は影響を受けません。

何をすればいい

CrushFTP の公式の案内を確認し、10 系は 10.8.5 以降、11 系は 11.3.4_23 以降に更新します（メーカーは分かりやすさのため 11.3.5 以降を案内しています）。侵入の痕跡として、覚えのない長いランダムなユーザー ID や、管理者権限を持つ新しいユーザーなどが挙げられており、表示される版が偽装されることもあるとされています。侵入された場合は、攻撃前のバックアップから default ユーザーを戻し、転送の記録を見直すよう案内されています。今後の対策として、管理に使える IP アドレスの制限も勧められています。

やることチェックリスト

• 10.8.5 以降か 11.3.5 以降に更新する
• 覚えのない管理者ユーザーの有無を確認する
• 管理に使える IP アドレスを制限する

用語メモ

DMZ

インターネットと社内のネットワークの間に置く、緩衝地帯のような区画のことです。

AS2

企業どうしでデータを安全にやり取りするための通信の決まりの一つです。