CrushFTP 文件传输服务器爆出高危漏洞CVE-2024-53552，CVSS评分高达9.8。该漏洞影响10.8.3之前的10版本和11.2.3之前的11版本，攻击者可利用密码重置功能，通过恶意链接操控用户账户，从而完全控制用户账户。CrushFTP 官方已发布更新版本，强烈建议用户立即升级至10.8.3或11.2.3版本。此外，管理员还需配置允许的电子邮件重置URL域，并定期监控服务器日志，同时加强用户安全教育，避免点击可疑链接。此前CrushFTP还曾出现SSTI漏洞，安全风险不容忽视。

⚠️ **密码重置漏洞**：CVE-2024-53552 漏洞源于 CrushFTP 处理密码重置请求的方式，攻击者通过操纵密码重置邮件链接，可轻易入侵用户账户。

🛡️ **版本更新至关重要**：用户必须立即升级到 CrushFTP 10.8.3 或 11.2.3 或更高版本，以修复此漏洞。

✉️ **配置邮件重置域**：除了更新补丁，管理员还必须配置允许的电子邮件重置 URL 域，限制重置邮件来源，进一步加强安全性。

🧐 **监控与教育**：定期监控服务器日志中的可疑活动，并培训用户谨慎对待密码重置邮件，避免点击可疑链接，可有效降低风险。

CrushFTP 是一款流行的文件传输服务器，以其强大的功能和友好的用户界面而著称。该漏洞被跟踪为 CVE-2024-53552，CVSS 得分为 9.8，影响 10.8.3 之前的 CrushFTP 版本 10 和 11.2.3 之前的版本 11。利用密码重置功能该漏洞源于这些版本处理密码重置请求的方式。攻击者可通过操纵密码重置电子邮件链接利用此漏洞。如果不知情的用户点击了恶意链接，他们的账户就会立即被入侵，从而被攻击者完全控制。需要立即采取行动CrushFTP 敦促所有用户尽快将其服务器更新到最新版本（10.8.3 或 11.2.3）。除打补丁外，管理员还必须配置允许的电子邮件重置 URL 域，以进一步加强安全性。鉴于 CrushFTP 的流行程度和成为网络犯罪分子攻击目标的历史，该漏洞尤其令人担忧。今年早些时候，CrushFTP 服务器被发现存在一个关键的服务器端模板注入（SSTI）漏洞（CVE-2024-4040），该漏洞允许远程执行代码。攻击者在一次针对多个美国组织的疑似出于政治动机的情报收集活动中利用了该漏洞。保护您的 CrushFTP 服务器为降低与 CVE-2024-53552 相关的风险，用户应采取以下步骤：更新：立即升级到 CrushFTP 10.8.3 或 11.2.3 或更高版本。配置： 限制密码重置电子邮件到受信任的域。监控： 定期监控服务器日志中的可疑活动。教育： 培训用户谨慎对待意外的密码重置电子邮件，避免点击可疑链接。