CrushFTP 是一款流行的文件传输服务器，以其强大的功能和友好的用户界面而著称。该漏洞被跟踪为 CVE-2024-53552，CVSS 得分为 9.8，影响 10.8.3 之前的 CrushFTP 版本 10 和 11.2.3 之前的版本 11。

利用密码重置功能

该漏洞源于这些版本处理密码重置请求的方式。攻击者可通过操纵密码重置电子邮件链接利用此漏洞。如果不知情的用户点击了恶意链接，他们的账户就会立即被入侵，从而被攻击者完全控制。

需要立即采取行动

CrushFTP 敦促所有用户尽快将其服务器更新到最新版本（10.8.3 或 11.2.3）。除打补丁外，管理员还必须配置允许的电子邮件重置 URL 域，以进一步加强安全性。

鉴于 CrushFTP 的流行程度和成为网络犯罪分子攻击目标的历史，该漏洞尤其令人担忧。今年早些时候，CrushFTP 服务器被发现存在一个关键的服务器端模板注入（SSTI）漏洞（CVE-2024-4040），该漏洞允许远程执行代码。攻击者在一次针对多个美国组织的疑似出于政治动机的情报收集活动中利用了该漏洞。

保护您的 CrushFTP 服务器

为降低与 CVE-2024-53552 相关的风险，用户应采取以下步骤：

• 更新：立即升级到 CrushFTP 10.8.3 或 11.2.3 或更高版本。
• 配置： 限制密码重置电子邮件到受信任的域。
• 监控： 定期监控服务器日志中的可疑活动。
• 教育： 培训用户谨慎对待意外的密码重置电子邮件，避免点击可疑链接。