È stato rilevato lo sfruttamento attivo in rete di una vulnerabilità classificata come “critica” all’interno di CrushFTP, un software essenziale per il trasferimento sicuro di file. Nonostante il fornitore abbia già rilasciato una patch per risolvere questa falla, il rischio persiste per coloro che non hanno ancora aggiornato i propri sistemi.
Questa vulnerabilità, identificata come CVE-2024-4040, qualora sfruttata, potrebbe consentire a un attaccante remoto non autenticato di leggere file sul dispositivo, bypassare l’autenticazione ottenendo privilegi amministrativi, eseguire codice sul server e persino estrarre i file contenuti. In rete risulta disponibile un Proof of Concept (PoC) per lo sfruttamento della vulnerabilità.
Il livello di impatto stimato su questa vulnerabilità è valutato come ALTO/ARANCIONE, con una percentuale del 68,97 su 100, indicando la serietà della minaccia per la comunità di riferimento.
I prodotti e le versioni affette includono CrushFTP 11.x (versioni precedenti alla 11.1.0), 10.x (versioni precedenti alla 10.7.1) e 9.x (non più supportata).
In linea con le dichiarazioni del vendor, si consiglia di aggiornare tempestivamente i propri prodotti vulnerabili seguendo le indicazioni fornite nel bollettino di sicurezza specifico, al fine di mitigare efficacemente il rischio di essere colpiti da attacchi.
