CrushFTP软件存在零日漏洞，正在遭受持续攻击

关键要点

• CrushFTP文件传输服务器软件存在一个关键的虚拟文件系统逃逸零日漏洞，正在受到针对性的攻击。
• 该漏洞由Airbus CERT的Simon Garrelou发现，已被CrowdStrike的Falcon OverWatch和Falcon Intelligence确认。
• CrushFTP已在版本11.1.0中发布了该问题的修复，这个版本支持FTP、HTTP、SFTP、FTPS、WebDAV和WebDAV SSL协议。

最近，CrushFTP文件传输服务器软件实例因一个关键的虚拟文件系统逃逸零日漏洞而受到持续攻击。这些攻击可能会导致系统文件的下载，相关信息由报道。

据CrowdStrike在Reddit上的发布，利用这一漏洞的入侵方式已被其Falcon OverWatch和FalconIntelligence的服务确认。

与此同时，CrushFTP已经在其软件的版本11.1.0中发布了针对该问题的修复。此版本支持通过FTP、HTTP、SFTP、FTPS、WebDAV和WebDAVSSL协议进行文件传输。

CrushFTP表示：“CrushFTP v11版本低于11.1存在一个漏洞，用户可以逃逸其虚拟文件系统（VFS）并下载系统文件……使用DMZ保护其主要CrushFTP实例的客户通过其协议转换系统得到了保护。”CrushFTP还为组织提供自动化、用户管理、脚本编写和定制化支持。

在当前网络安全环境中，针对文件传输软件的攻击日益增加。用户应及时更新软件以确保系统安全，同时也要关注官方通报和修复信息。