CrushFTP waarschuwt gebruikers via e-mail voor nieuw beveiligingslek

[Captain Kirk]

De makers van ftp-serversoftware CrushFTP waarschuwen gebruikers via e-mail voor een nieuw beveiligingslek waardoor aanvallers ongeauthenticeerde toegang tot de ftp-server kunnen krijgen. Een beveiligingsupdate is beschikbaar, een CVE-nummer om de kwetsbaarheid mee aan te duiden nog niet, zo meldt securitybedrijf Rapid7. Vorig jaar waarschuwde CrushFTP nog voor een ander beveiligingslek waar aanvallers actief misbruik van maakten.

De eerste versie van CrushFTP dateert van 1998. De software ondersteunt verschillende protocollen, zoals ftp, ftps, sftp, http, https, WebDAV en WebDAV SSL. Volgens de e-mailwaarschuwing maakt de kwetsbaarheid het mogelijk voor aanvallers om ongeauthenticeerde toegang te krijgen als er een http- of https-poort van de ftp-server toegankelijk is. Verdere details zijn niet gegeven, behalve dat het probleem is verholpen in CrushFTP v11.3.1+. In een summiere online advisory wordt gemeld dat ook versie 10.x kwetsbaar is. Gebruikers van deze versie moeten updaten naar versie 10.8.4+.

 

bron: https://www.security.nl