CVE-2024-11986は、CrushFTPの'ホストヘッダー'における不適切な入力処理に起因するクロスサイトスクリプティング（XSS）脆弱性です。この脆弱性を悪用されると、攻撃者はWebアプリケーションのログに悪意のあるペイロードを保存し、管理者がログを閲覧する際にそのペイロードが実行される可能性があります。影響を受けるバージョンはCrushFTP 10.0.0から11.2.1までです。CrushFTP 11.2.1以降で修正されています。
このXSS脆弱性は、攻撃者が管理者のブラウザ上で任意のJavaScriptコードを実行することを可能にします。これにより、攻撃者はセッションCookieを盗み、管理者の権限を乗っ取ったり、Webサイトを改ざんしたり、ユーザーを悪意のあるサイトにリダイレクトしたりする可能性があります。特に、CrushFTPを重要なデータ転送やファイル共有に使用している環境では、機密情報の漏洩やシステム全体の制御喪失につながる重大なリスクとなります。この脆弱性は、類似のログインジェクション攻撃と同様の被害をもたらす可能性があります。
CVE-2024-11986は、2024年12月13日に公開されました。現時点では、この脆弱性を悪用した公開されているPoCは確認されていませんが、XSS脆弱性であるため、早期に悪用コードが公開される可能性があります。CISAのKEVリストへの登録状況は不明です。NVDデータベースも参照し、最新の情報を確認してください。
Organizations using CrushFTP Server for file transfer and management, particularly those with legacy configurations or shared hosting environments, are at risk. Administrators who routinely access and review CrushFTP server logs are especially vulnerable to exploitation.
• crushftp: Examine CrushFTP server logs for unusual or unexpected JavaScript code.
grep -i 'alert\(' /path/to/crushftp/logs/server.log• crushftp: Check the CrushFTP configuration for improperly sanitized host headers.
Get-ChildItem -Path "HKCU:\Software\CrushFTP\Server" -Recurse | Where-Object {$_.PSProperty -like "*HostHeader*"} | Format-List Name, Value• generic web: Monitor access logs for requests containing suspicious JavaScript payloads in the Host header.
grep -i 'alert\(' /var/log/apache2/access.logdisclosure
エクスプロイト状況
EPSS
0.78% (74% パーセンタイル)
CISA SSVC
CVSS ベクトル
CrushFTPのバージョンを11.2.1以降にアップデートすることが最も効果的な対策です。アップデートが困難な場合は、Webアプリケーションファイアウォール（WAF）を使用して、'ホストヘッダー'フィールドへの悪意のある入力の挿入を試みる攻撃をブロックすることを検討してください。また、ログの閲覧機能を一時的に無効化したり、ログの閲覧権限を厳格に制限したりすることも有効な緩和策となります。ログの監視を強化し、不審なJavaScriptコードの実行を検知するためのカスタムルールを実装することも重要です。
CrushFTPをバージョン10.8.2以降、またはバージョン11.2.1以降にアップデートしてください。これにより、Hostヘッダーの入力をログに書き込む前に適切にサニタイズすることで、Stored XSSの脆弱性が修正されます。詳細なアップデート手順については、CrushFTPのウェブサイトを参照してください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-11986は、CrushFTPの'ホストヘッダー'の不適切な入力処理により発生するクロスサイトスクリプティング（XSS）脆弱性です。攻撃者はログにペイロードを保存し、管理者がログを閲覧する際に実行可能になります。
CrushFTPのバージョンが10.0.0から11.2.1のいずれかである場合、この脆弱性の影響を受けます。
CrushFTPのバージョンを11.2.1以降にアップデートしてください。
現時点では、この脆弱性を悪用した公開されているPoCは確認されていませんが、早期に悪用コードが公開される可能性があります。
CrushFTPの公式ウェブサイトまたはセキュリティアドバイザリページで確認してください。