关于CrushFTP 远程代码执行漏洞（CVE-2023-43177）的安全预警

一、 基本情况

CrushFTP是一款支持FTP、FTPS、 SFTP、HTTP、HTTPS等协议的跨平台FTP服务器软件。

二、 漏洞描述

CrushFTP中修复了一个远程代码执行漏洞（CVE-2023-43177），目前该漏洞的细节及PoC已公开。

该漏洞与CrushFTP 解析AS2数据传输协议的请求标头的方式有关，威胁者可利用 AS2 标头解析逻辑来控制用户会话属性，使得能够读取和删除文件，从而可能控制系统或导致代码执行。

三、 影响范围

CrushFTP 版本< 10.5.1

四、 修复建议

目前该漏洞已经修复，受影响用户可升级到CrushFTP 版本>= 10.5.2。

下载链接：

https://crushftp.com/download.html

五、 参考链接

https://convergetp.com/2023/11/16/crushftp-zero-day-cve-2023-43177-discovered/

https://www.bleepingcomputer.com/news/security/exploit-for-crushftp-rce-chain-released-patch-now/