一、漏洞详情

CrushFTP是一款支持FTP、FTPS、SFTP、HTTP、HTTPS等协议的跨平台FTP服务器软件。

近日，监测到CrushFTP中修复了一个远程代码执行漏洞（CVE-2023-43177）。该漏洞与CrushFTP解析AS2数据传输协议的请求标头的方式有关，威胁者可利用AS2标头解析逻辑来控制用户会话属性，使得能够读取和删除文件，从而可能控制系统或导致代码执行。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

CrushFTP 版本< 10.5.1

三、修复建议

目前该漏洞已经修复，受影响用户可升级到CrushFTP 版本>=10.5.2。