Hơn 1.400 máy chủ CrushFTP lộ trực tuyến bị ảnh hưởng bởi lỗ hổng chèn mẫu phía máy chủ (SSTI) từng bị khai thác dưới dạng zero-day.

CrushFTP mô tả CVE-2024-4040 là vấn đề thoát sandbox VFS trong phần mềm truyền tệp quản lý. Những kẻ tấn công không cần xác thực có thể khai thác lỗ hổng để thực thi mã từ xa (RCE) trên các hệ thống chưa được vá.

Các nhà nghiên cứu từ nền tảng giám sát mối đe dọa Shadowserver đã phát hiện ra 1.401 phiên bản CrushFTP chưa được vá bị lộ trực tuyến, hầu hết trong số đó ở Hoa Kỳ (725), Đức (115) và Canada (108).

CISA cũng thêm CVE-2024-4040 vào danh mục Các lỗ hổng bị khai thác đã biết, yêu cầu các cơ quan liên bang Hoa Kỳ phải bảo mật máy chủ trước 1/5.

Nguồn: Bleeping Computer