Alerte - Vulnérabilité touchant CrushFTP

Numéro : AL25-003
Date : 2 avril 2025

Auditoire

La présente alerte s’adresse aux professionnelles et professionnels et aux gestionnaires des TI œuvrant au sein des organismes avisés.

Objet

Une alerte a pour objet de prévenir les destinataires que des cybermenaces ont été relevées récemment et que celles-ci pourraient toucher les biens d’information électronique. Elle vise également à leur fournir des conseils supplémentaires en matière de détection DétectionSurveillance et analyse des événements d'un système en vue de relever les tentatives d’accès non autorisées aux ressources du système. et d’atténuation. Le Centre canadien pour la cybersécurité CybersécuritéProtection de données numériques et préservation de l'intégrité de l'infrastructure servant à stocker et à transmettre des données numériques. Plus particulièrement, la cybersécurité englobe l'ensemble des technologies, des processus, des pratiques, des mesures d'intervention et d'atténuation dont la raison d'être est d'empêcher que les réseaux, ordinateurs, programmes et données soient attaqués ou endommagés, ou qu'on y accède sans autorisation, afin d'en assurer la confidentialité, l'intégrité et la disponibilité. (ou Centre pour la cybersécurité) est en mesure d’offrir, aux destinataires qui en font la demande, une assistance complémentaire concernant la teneur de la présente alerte.

Détails

Le 21 mars 2025, CrushFTP a publié un bulletin de sécurité concernant une vulnérabilité VulnérabilitéDéfectuosité ou lacune inhérente à la conception ou à la mise en œuvre d’un système d’information ou à son environnement, qui pourrait être exploitée en vue de compromettre les biens ou les activités d’une organisation. critique qui touche les versions 10 et 11 de CrushFTP. On y décrit le problème comme étant une vulnérabilité qui permet de contourner l’accès à un port HTTP(S) non authentifié. Les versions touchées de CrushFTP sont les suivantes^{Note de bas de page 1} :

• 10.0.0 à 10.8.3;
• 11.0.0 à 11.3.0.

En réponse à cette vulnérabilité, le Centre pour la cybersécurité a publié le bulletin AV25-165 le 26 mars 2025^{Note de bas de page 2}.

Le Centre pour la cybersécurité sait qu’une preuve de concept est disponible et est au courant des signalements d’exploitation. La publication d’une telle preuve de concept signifie qu’il est impératif de prendre les mesures nécessaires pour évaluer et atténuer cette vulnérabilité.

Mesures Recommandées

Le Centre pour la cybersécurité recommande fortement aux organismes de mettre à jour CrushFTP aux versions 10.8.4+ ou 11.3.1+^{Note de bas de page 1}.

Le fournisseur indique que l’exploit ne fonctionne pas si vous avez mis en place une instance de mandataire dans une zone démilitarisée Zone démilitariséeÉgalement appelée « réseau périmétrique », la zone démilitarisée (DMZ pour Demilitarized Zone) est un secteur moins sécurisé d'un réseau, qui est situé entre deux composantes servant à l'application des politiques d'un réseau (p. ex. entre Internet et les réseaux internes). Une organisation a recours à une zone démilitarisée pour y héberger ses propres services Internet tout en éliminant les risques d'accès non autorisé à son réseau privé. (ZD) ^{Note de bas de page1Note de bas de page3}.

Le Centre pour la cybersécurité recommande aux organismes de prendre les mesures suivantes :

• évaluer les installations de CrushFTP;
• appliquer sans tarder la mise à jour logicielle à CrushFTP;
• surveiller les systèmes touchés pour tout signe d’exploitation.

De plus, le Centre pour la cybersécurité recommande fortement aux organismes de mettre en œuvre les 10 mesures de sécurité des TI^{Note de bas de page 4} du Centre pour la cybersécurité, en particulier celles liées aux stratégies suivantes :

• intégrer, surveiller et défendre les passerelles Internet;
• appliquer des correctifs aux applications et aux systèmes d’exploitation;
• isoler les applications Web.

Si les destinataires relèvent des activités semblables aux informations fournies dans la présente alerte, elles et ils sont invités à le signaler par l’entremise de Mon cyberportail ou par courriel à contact@cyber.gc.ca.