प्लेटफ़ॉर्म
crushftp
घटक
crushftp
में ठीक किया गया
10.8.2
11.2.1
CVE-2024-11986 एक गंभीर क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता है जो CrushFTP के संस्करण 10.0.0 से 11.2.1 तक प्रभावित करती है। यह असुरक्षित इनपुट हैंडलिंग के कारण होती है, जिससे हमलावर वेब एप्लिकेशन लॉग में दुर्भावनापूर्ण पेलोड संग्रहीत कर सकता है। जब कोई व्यवस्थापक इन लॉग को देखता है, तो पेलोड निष्पादित हो सकता है, जिससे संभावित रूप से गंभीर सुरक्षा जोखिम उत्पन्न हो सकते हैं। संस्करण 11.2.1 में इस भेद्यता को ठीक कर दिया गया है।
यह भेद्यता हमलावरों को अनधिकृत स्क्रिप्ट को निष्पादित करने की अनुमति देती है, जिससे वे उपयोगकर्ता सत्रों को हाईजैक कर सकते हैं, संवेदनशील जानकारी चुरा सकते हैं, या वेबसाइट की सामग्री को बदल सकते हैं। हमलावर व्यवस्थापक खातों को लक्षित कर सकते हैं, जिससे उन्हें सिस्टम पर पूर्ण नियंत्रण मिल सकता है। लॉग में संग्रहीत पेलोड के कारण, यह भेद्यता लगातार बनी रह सकती है जब तक कि लॉग को साफ नहीं किया जाता या सिस्टम को पैच नहीं किया जाता। यह भेद्यता अन्य XSS भेद्यताओं के समान है, जहां हमलावर ब्राउज़र में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करके उपयोगकर्ता के इंटरैक्शन को नियंत्रित कर सकते हैं।
यह भेद्यता सार्वजनिक रूप से 2024-12-13 को घोषित की गई थी। अभी तक सक्रिय शोषण के कोई ठोस प्रमाण नहीं हैं, लेकिन XSS भेद्यताओं का इतिहास उन्हें शोषण के लिए आकर्षक बनाता है। इस भेद्यता को CISA KEV सूची में जोड़ा जाना बाकी है। सार्वजनिक रूप से उपलब्ध प्रमाण-अवधारणा (PoC) मौजूद हो सकते हैं, लेकिन वर्तमान में व्यापक रूप से ज्ञात नहीं हैं।
Organizations using CrushFTP Server for file transfer and management, particularly those with legacy configurations or shared hosting environments, are at risk. Administrators who routinely access and review CrushFTP server logs are especially vulnerable to exploitation.
• crushftp: Examine CrushFTP server logs for unusual or unexpected JavaScript code.
grep -i 'alert\(' /path/to/crushftp/logs/server.log• crushftp: Check the CrushFTP configuration for improperly sanitized host headers.
Get-ChildItem -Path "HKCU:\Software\CrushFTP\Server" -Recurse | Where-Object {$_.PSProperty -like "*HostHeader*"} | Format-List Name, Value• generic web: Monitor access logs for requests containing suspicious JavaScript payloads in the Host header.
grep -i 'alert\(' /var/log/apache2/access.logdisclosure
एक्सप्लॉइट स्थिति
EPSS
0.78% (74% शतमक)
CISA SSVC
CVSS वेक्टर
सबसे प्रभावी शमन उपाय CrushFTP को संस्करण 11.2.1 या उच्चतर में अपडेट करना है। यदि तत्काल अपडेट संभव नहीं है, तो लॉग फ़ाइलों की नियमित निगरानी और सफाई की जानी चाहिए ताकि किसी भी दुर्भावनापूर्ण पेलोड का पता लगाया जा सके और उसे हटाया जा सके। वेब एप्लिकेशन फ़ायरवॉल (WAF) को कॉन्फ़िगर किया जा सकता है ताकि XSS हमलों को ब्लॉक किया जा सके। इनपुट सत्यापन और आउटपुट एन्कोडिंग को लागू करना भी महत्वपूर्ण है ताकि यह सुनिश्चित किया जा सके कि उपयोगकर्ता इनपुट को सुरक्षित रूप से संभाला जाए। लॉगिंग सिस्टम को सख्त किया जाना चाहिए ताकि केवल आवश्यक जानकारी ही लॉग की जाए।
कृपया CrushFTP को संस्करण 10.8.2 या उच्चतर, या संस्करण 11.2.1 या उच्चतर में अपडेट करें, जैसा कि उचित हो। यह होस्ट हेडर इनपुट को लॉग में लिखने से पहले ठीक से सैनिटाइज करके संग्रहीत XSS भेद्यता को ठीक करेगा। अपडेट के बारे में विस्तृत निर्देशों के लिए CrushFTP वेबसाइट देखें।
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2024-11986 CrushFTP के संस्करण 10.0.0 से 11.2.1 तक में एक गंभीर क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता है, जो हमलावरों को लॉग में दुर्भावनापूर्ण स्क्रिप्ट संग्रहीत करने की अनुमति देती है।
यदि आप CrushFTP के संस्करण 10.0.0 से 11.2.1 का उपयोग कर रहे हैं, तो आप इस भेद्यता से प्रभावित हैं।
CrushFTP को संस्करण 11.2.1 या उच्चतर में अपडेट करें। यदि तत्काल अपडेट संभव नहीं है, तो लॉग फ़ाइलों की नियमित निगरानी करें और WAF का उपयोग करें।
अभी तक सक्रिय शोषण के कोई ठोस प्रमाण नहीं हैं, लेकिन XSS भेद्यताओं का इतिहास उन्हें शोषण के लिए आकर्षक बनाता है।
आधिकारिक CrushFTP सलाहकार के लिए, कृपया CrushFTP वेबसाइट पर सुरक्षा नोटिस अनुभाग देखें।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।