Kritische Zero-Day-Lücke in CrushFTP ermöglicht Admin-Zugriff

Nutzt ihr CrushFTP für Dateitransfers? Dann solltet ihr schnell handeln. Eine aktive Zero-Day-Lücke gewährt Angreifern vollen Admin-Zugang über die Web-Oberfläche, das Bundesamt für Sicherheit in der Informationstechnik (BSI) hatte schon einmal gewarnt.

Gefährliche Sicherheitslücke in CrushFTP entdeckt

Eine kritische Zero-Day-Sicherheitslücke im Enterprise-Dateitransfer-Server CrushFTP laut Medienberichten wird aktiv von Angreifern ausgenutzt. Die Schwachstelle CVE-2025-54309 ermöglicht Hackern unauthorisierten Administratorzugriff über die Web-Oberfläche. Betroffen sind alle Versionen vor 10.8.5 und 11.3.4_23, die vor dem 1. Juli 2025 veröffentlicht wurden.

Der Fehler entstand als unbeabsichtigte Nebenwirkung einer früheren Sicherheitskorrektur. Die Entwickler hatten ein Problem bei AS2-Protokollen behoben, ohne zu wissen, dass Hacker diese Änderung für einen Exploit nutzen könnten. Die Angreifer nutzen eine HTTP(S)-Schwachstelle aus.

Managed File Transfer im Visier von Hackern

Laut Bleeping Computer recyceln die Angreifer Scripts aus früheren CrushFTP-Kampagnen und zielen auf schnelle Nutzerkonten-Erstellung sowie Massen-Downloads ab. Der Hersteller betont, dass aktuelle Systeme nicht gefährdet sind, und empfiehlt die Überprüfung der Upload- und Download-Logs auf verdächtige Aktivitäten.

CrushFTP ist ein weit verbreiteter Enterprise-Server für sichere Dateiübertragungen mit Unterstützung für FTP, SFTP, HTTP(S) und WebDAV. Managed-File-Transfer-Lösungen sind zu beliebten Zielen für Datendiebstahl geworden, da sie oft sensible Unternehmensdaten verarbeiten.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte bereits im Frühjahr vor einem ähnlichen Problem und hatte damals einen CVSS Base Score von 9,8 sowie eine CVSS Temporal Score von 9,4 vergeben. Solche hohen Punktevergaben sind äußerst selten. Bisher ist noch keine neue Warnung herausgegeben worden.

Ransomware-Gruppen nutzen ähnliche Schwachstellen

Ransomware-Gruppen wie Clop haben wiederholt Zero-Day-Schwachstellen in ähnlichen Plattformen ausgenutzt - darunter MOVEit Transfer, GoAnywhere MFT, Cleo und Accellion FTA. Diese Angriffe führten zu massiven Datendiebstählen gegen Tausende von Unternehmen.

Die Clop-Gruppe nutzte 2023 eine Zero-Day-Schwachstelle in MOVEit Transfer aus und stahl Daten von über 2.000 Organisationen, darunter Regierungsbehörden, Universitäten und Konzerne. Ähnliche Angriffsmuster bei GoAnywhere MFT und anderen File-Transfer-Lösungen unterstreichen die strategische Bedeutung dieser Systeme für Cyberkriminelle.

Was haltet ihr von dieser neuen Sicherheitslücke? Habt ihr CrushFTP im Einsatz und wenn ja, wie geht ihr mit der aktuellen Bedrohungslage um? Teilt eure Erfahrungen gerne in den Kommentaren!


Siehe auch: