CVE-2017-14035

CrushFTP 8.x — podatność deserializacji umożliwiająca RCE

CVSS 9.8v3.0pub. 2017-08-30upd. 2026-05-13

CrushFTP w wersjach 8.x przed 8.2.0 zawiera podatność niebezpiecznej deserializacji (CWE-502), która może umożliwić zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu na serwerze. Podatność otrzymała ocenę CVSS 9.8, co klasyfikuje ją jako krytyczną.

▸ Pokaż oryginał (EN)

CrushFTP 8.x before 8.2.0 has a serialization vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi serializowanych obiektów przesyłanych do serwera CrushFTP. Atakujący może dostarczyć specjalnie spreparowany, złośliwy payload w postaci zserializowanego obiektu, który — po deserializacji przez aplikację — prowadzi do wykonania niezamierzonego kodu. Brak weryfikacji lub filtrowania deserializowanych danych pozwala na przeprowadzenie ataku bez żadnego uwierzytelnienia i interakcji ze strony użytkownika.

Skutki

Skuteczne wykorzystanie podatności może pozwolić atakującemu na zdalne wykonanie dowolnego kodu (RCE) na serwerze, co w konsekwencji może prowadzić do pełnego przejęcia kontroli nad systemem, kradzieży danych lub instalacji złośliwego oprogramowania.

Mitygacja

Należy jak najszybciej zaktualizować CrushFTP do wersji 8.2.0 lub nowszej. Szczegółowe informacje o aktualizacji dostępne są na stronie producenta: https://crushftp.com/version8.html