Monsta FTP a CVE-2025-34299: Kompletní analýza zranitelnosti RCE

Informatec Digital » Zdroje » Monsta FTP a CVE-2025-34299: Kompletní analýza zranitelnosti RCE

Zranitelnost CVE-2025-34299 v Monsta FTP se stala jednou z nejzávažnějších chyb v poslední době pro webové aplikace pro správu souborů. Tato chyba umožňující vzdálené spuštění kódu bez ověřování umožňuje útočníkovi převzít úplnou kontrolu nad serverem, na kterém je nainstalován Monsta FTP, pouhým vynucením připojení ke škodlivému (S)FTP serveru a zneužitím nedostatečného ověření cesty a souboru.

Tento problém není ojedinělý případ: souvisí s předchozí historií zranitelností v Monsta FTP (SSRF, libovolné nahrávání, částečné validace) a poněkud matoucím systémem správy oprav, kde byly zavedeny validační mechanismy, které dávaly falešný pocit bezpečí, ale neřešily hlavní příčinu chyby. To vše vedlo ke kritické CVE se skóre CVSS 9.3 , která je již zneužívána v reálných prostředích a ovlivňuje tisíce instancí na internetu.

Co je Monsta FTP a proč je tato zranitelnost důležitá?

Monsta FTP je webový FTP a SFTP klient , vyvinutý v PHP a JavaScriptu, který se instaluje přímo na webový server a umožňuje správu souborů prostřednictvím webového prohlížeče namísto použití tradičního desktopového klienta. Tento přístup je obzvláště vhodný pro administrátory a vývojáře, kteří chtějí nahrávat, stahovat a upravovat soubory odkudkoli bez dalšího softwaru.

Problém je v tom, že tyto typy nástrojů se po vystavení internetu stávají velmi atraktivním cílem pro útočníky . Monsta FTP má značnou instalovanou základnu, která je přítomna ve finančních institucích, firmách a u pokročilých uživatelů , kteří jej používají k centrální správě svých webových stránek a serverů.

Výchozí instalační cesta je navíc obvykle /mftp/ , což v praxi mnoho instalací „skrývá“ před obecnějšími kontrolami, ale vůbec to nebrání útočníkovi, který technologii odhalí, v pokusu zneužít známé zranitelnosti.

V této souvislosti je obzvláště závažná chyba, která umožňuje vzdálenému a anonymnímu útočníkovi nahrávat libovolné soubory a spouštět je na serveru, jako je tomu v případě CVE-2025-34299 : aplikace se z jednoduchého nástroje pro správu souborů stává přímým vektorem totálního ohrožení systému.

Technický popis chyby CVE-2025-34299: původ a povaha chyby

Zranitelnost CVE-2025-34299 byla podrobně zdokumentována výzkumníky z watchTown Labs, kteří ji popisují jako chybu umožňující libovolné nahrávání souborů se vzdáleným spuštěním kódu v Monsta FTP. Chyba postihuje všechny verze před verzí 2.11.3 a umožňuje neověřenému vzdálenému útočníkovi, aby si Monsta FTP stáhl soubor, který ovládá, z (S)FTP serveru a uložil jej na libovolné místo na webovém serveru, kde jej lze následně spustit.

V počátečních verzích (do verze 2.11) se problém týkal nezabezpečeného zpracování parametrů a absence robustního ověřování cest a souborů . Podobné zranitelnosti již byly hlášeny, například CVE-2022-27468 (nahrávání libovolných souborů) a CVE-2022-31827 (SSRF), které zdůrazňovaly, že část procesu stahování a kopírování souborů nebyla dostatečně chráněna.

Výzkumníci zjistili, že ačkoli byl později zaveden validační modul ( inputValidator.php ) s řadou funkcí pro detekci procházení adresářů, absolutních cest, nulových bajtů a podezřelých vzorů , tyto obranné mechanismy nebyly správně aplikovány na tok, který ve skutečnosti umožňoval nezabezpečený zápis souborů. Jinými slovy, plocha pro útok zůstala otevřená i přes všechny tyto filtry.

Praktickým výsledkem je, že v Monsta FTP až do verze 2.11.2 mohl útočník vynutit stažení souboru z kontrolovaného SFTP serveru a nařídit jeho uložení do adresáře přístupného z webu, čímž dosáhl spuštění kódu s oprávněními procesu webového serveru , obvykle www-data nebo jiného podobného uživatele.

Jak zneužít zranitelnost v Monsta FTP API

Jádro zranitelnosti spočívá v koncovém bodu /mftp/application/api/api.php , který slouží jako centrální bod pro akce aplikace. Tento koncový bod v těle HTTP požadavku obdrží parametr s názvem `request` , který obsahuje strukturovaný JSON se všemi daty potřebnými k navázání (S)FTP připojení a provedení akcí se soubory.

V tomto souboru JSON jsou specifikovány aspekty, jako je typ připojení ( connectionType = "sftp"), konfigurace vzdáleného serveru ( configuration : host, port, username, password, home directory) a název akce, která se má spustit ( actionName ), například downloadFile , uploadFile nebo fetchRemoteFile . Další parametry, včetně lokální a vzdálené cesty, jsou zahrnuty v sekci context .

Aplikace obsahuje dispatch funkci, která pomocí příkazu switch rozhoduje, co se má dělat na základě actionName. Zde vstupuje do hry validační logika modulu InputValidator , který kontroluje parametry jako remotePath nebo localPath pro určité akce a snaží se zabránit procházení adresářů nebo nebezpečným cestám.

Výzkumníci však zjistili, že v konkrétním případě akce downloadFile se skutečná implementace spoléhala na tok kódu, kde lokální cesta, kam byl vzdálený soubor zkopírován, zůstala útočníkovi ovladatelná prostřednictvím parametru localPath . Tato hodnota byla nakonec použita přímo ve volání copy() bez jakéhokoli efektivního omezení, do kterých adresářů bylo možné zapisovat.

V praxi to znamená, že útočník může sestavit HTTP POST požadavek na /mftp/application/api/api.php, který instruuje Monsta FTP k připojení ke škodlivému SFTP serveru, stažení souboru (například shell.php ) a jeho uložení na libovolné místo na webovém serveru, například /var/www/html/mftp/index3.php . Pak stačí jednoduchý GET požadavek na nově vytvořený soubor k provedení škodlivého PHP kódu s oprávněními na straně serveru.

Srovnání s předchozími zranitelnostmi a selháními záplatování

Zranitelnost CVE-2025-34299 se neobjevila z ničeho nic: Monsta FTP již mělo historii zranitelností souvisejících s nezabezpečeným zpracováním uživatelského vstupu a cest k souborům. Verze jako 2.10.3 a 2.10.4 již byly ovlivněny chybami CVE-2022-31827 a CVE-2022-27468, které zahrnovaly jak SSRF , tak nahrávání libovolných souborů.

Podrobné vyšetřování společnosti WatchTower ukázalo, že mezi verzemi 2.10.3 a 2.10.4 nedošlo k téměř žádným relevantním změnám kódu, a to i přes existenci zdokumentovaných CVE. Jinými slovy, pozdější verze zůstaly v podstatě zranitelné vůči stejným problémům a záplaty strukturálně neřešily logiku, která umožňovala zápis nebezpečných souborů.

S vydáním verze 2.11 představila společnost Monsta FTP modul inputValidator.php , který přidal velmi komplexní funkce validace: detekci řetězců jako "../", hardcoded variant (%2f, %5c atd.), absolutní cesty, maximální délku cesty a další podezřelé vzory. Na první pohled se zdálo, že se jedná o důkladné vyčištění kódu zaměřené na posílení zabezpečení.

Když však vědci znovu spustili ověření konceptu SSRF a nahráli soubory, zjistili, že útoky fungovaly i ve verzi 2.11. Jinými slovy, kolem mnoha vstupních bodů byla aplikována validační „obalovací“ vrstva , ale specifický tok, který umožňoval libovolný zápis, nebyl přerušen.

Tento vzorec ilustruje běžný problém v mnoha projektech: implementaci obecných validačních vrstev bez důkladné kontroly kritických cest kódu , které vedou k nebezpečným operacím, jako je otevírání, zápis nebo kopírování souborů na serveru. Výsledkem je falešný pocit bezpečí pro vývojáře i administrátory, zatímco základní zranitelnost zůstává otevřená.

Vykořisťování bez pověření a rozsahu dopadu

Jednou z nejvíce znepokojivých vlastností CVE-2025-34299 je, že exploit je kompletně pre-autentizován , což znamená, že nejsou vyžadovány žádné platné přihlašovací údaje ani předchozí relace v panelu Monsta FTP. Útočník potřebuje pouze přístup k instanci Monsta FTP z internetu a k přijetí škodlivého požadavku rozhraní /mftp/application/api/api.php API .

Získáním možnosti spouštět kód s oprávněními webového serveru může útočník instalovat zadní vrátka , nasazovat webové shell, číst nebo upravovat soubory aplikací a dokonce se přesunout do jiných systémů v interní síti, pokud architektura není správně segmentována. V podnikovém nebo finančním prostředí to může vést ke krádeži citlivých dat, podvodům nebo vážným narušením služeb.

Rozsah dopadu je umocněn významným rozšířením Monsta FTP , s několika tisíci instancemi dostupnými na internetu, podle odhadů výzkumníků. Mnoho z nich se kvůli výchozímu kontextu /mftp/ ani neobjevuje v generických kontrolách , což organizacím ztěžuje zjistit, zda tuto zranitelnost skutečně mají, a pokud ano, jakou verzi.

Dalším kritickým bodem je, že zranitelnost lze zneužít odkudkoli na světě, za předpokladu, že je webový server přístupný a připojení ke škodlivému SFTP serveru je možné na úrovni sítě. Pokud neexistují žádná pravidla firewallu omezující odchozí připojení ze serveru do internetu, zneužití se stává extrémně triviálním.

V tomto scénáři mohou útočníci automatizovat skenování a zneužívání zranitelného FTP serveru Monsta a integrovat jej do svých hromadných útočných kampaní , a to jak pro ransomware, tak pro instalaci botnetů nebo krádež přihlašovacích údajů.

Dotčené verze, časová osa a dostupné opravy

Zranitelnost CVE-2025-34299 postihuje všechny verze Monsta FTP před verzí 2.11.3 . To zahrnuje i větve, ve kterých již byly registrovány jiné zranitelnosti CVE (2.10.3, 2.10.4, 2.11, 2.11.1, 2.11.2) a které nadále nesly problém ve vnitřní logice stahování a kopírování souborů.

Známá chronologie procesu objevování a oprav je podle výzkumu watchTown v zásadě následující:

• 13 srpna 2025watchTowr hlásí zranitelnost (označovanou jako WT-2025-0091) vývojovému týmu Monsta FTP.
• 14 srpna 2025Tým Monsta FTP potvrzuje přijetí hlášení a zavazuje se k prošetření problému.
• 15 srpna 2025watchTowr zahajuje širší analýzu útočné plochy svých zákazníků a hledá zranitelné instance Monsta FTP.
• 26 srpna 2025Verze je zveřejněna 2.11.3 od Monsta FTP, kteří konečně účinně opravuje zranitelnost řešení nejistého toku psaní.
• 4 listopadu 2025Identifikátor je oficiálně přidělen. CVE-2025-34299 k této zranitelnosti.
• 6 listopadu 2025WatchTower zveřejňuje podrobné technické vyšetřování selhání.

Počínaje verzí 2.11.3 kód zavádí další ovládací prvky, které omezují cesty zápisu na povolené adresáře a posilují ověřování parametrů, čímž zabraňují libovolnému použití localPath k zápisu do systémových umístění, která mohou být obsluhována webovým serverem.

Všeobecná shoda mezi analytiky a dodavateli bezpečnostních řešení je jasná: každá organizace, která stále používá verze starší než 2.11.3, by měla okamžitě provést upgrade , nebo pokud to není možné, zakázat veřejný přístup k FTP serveru Monsta během plánování migrace.

Jak identifikovat zranitelné instance Monsta FTP

Nalezení všech instancí Monsta FTP v organizaci není vždy jednoduché, zejména pokud existují staré nebo zapomenuté servery , na které byl nástroj nainstalován před lety a nikdy nebyl znovu zkontrolován. Zde přicházejí na řadu řešení pro správu povrchů útoků a vyhledávání aktiv.

Nástroje jako runZero publikovaly specifické dotazy, které pomáhají identifikovat potenciální zranitelnosti na základě funkcí, jako je favicon aplikace. Příklad navrhovaného dotazu je:

_asset.protocol:http AND protocol:http AND favicon.ico.image.mmh3:="1535999103"

Tento dotaz identifikuje HTTP služby, jejichž favicon se shoduje s faviconem Monsta FTP, a poskytuje tak počáteční seznam systémů, které vyžadují podrobnou kontrolu verze a konfigurace . Poté je nezbytné ručně ověřit nainstalovanou verzi a ověřit, zda byla nainstalována oprava 2.11.3 nebo novější.

Kromě těchto typů vyhledávání je vhodné provádět interní inventury (například pomocí skriptů nebo skenovacích nástrojů), které hledají cestu /mftp/ na webových serverech a kontrolují soubory aplikací, protože některé instalace nemusí dodržovat standardní konfiguraci portů nebo domén.

Zmírňující opatření a osvědčené postupy obrany

I když základním krokem ke zmírnění dopadu CVE-2025-34299 je aktualizace Monsta FTP na verzi 2.11.3 nebo novější , pouhá instalace záplaty a zapomenutí na ni je špatný nápad. Tento incident jasně ukazuje, že kolem aplikací tohoto typu jsou zapotřebí další vrstvy zabezpečení .

Zaprvé se důrazně doporučuje omezit přístup k Monsta FTP API. Koncový bod /mftp/application/api/api.php by neměl být volně přístupný z žádné IP adresy na internetu. V ideálním případě by měl být provoz filtrován přes firewally nebo seznamy řízení přístupu, přičemž by měl být povolen pouze určitý rozsah (například firemní VPN síť) nebo dokonce omezen na intranet; běžnou možností na linuxových serverech je použití iptables pro toto filtrování.

Za druhé, musí být implementována správná segmentace sítě . Webové servery hostující aplikace, jako je Monsta FTP, by neměly mít neomezený přímý přístup ke kritickým systémům (základní databáze, ERP, finanční systémy atd.). S dobrou segmentací a pochopením modelu TCP/IP bude mít útočník mnohem větší potíže s laterálním pohybem , a to i v případě, že je webový server napaden.

Dalším nezbytným opatřením je monitorování anomálních odchozích připojení , zejména těch, která souvisejí s SFTP, FTP nebo SSH k neobvyklým externím cílům. Zneužití této zranitelnosti vyžaduje, aby se zranitelný server připojil k (S)FTP serveru ovládanému útočníkem, takže dobře nakonfigurovaný monitorovací systém nebo SIEM by měl být schopen spustit upozornění, když detekuje tento typ podezřelého provozu.

Nakonec se doporučuje nasadit a správně nakonfigurovat firewall webových aplikací (WAF) a aplikovat zásady pro posílení zabezpečení serveru: snížit oprávnění k zápisu, zajistit, aby proces webového serveru běžel s co nejnižšími oprávněními , a provádět pravidelné kontroly zranitelností , aby se odhalily staré instance nebo verze, které se v cyklu aktualizací zpozdily.

Nulová důvěra, nepřetržité monitorování a kontext dalších zranitelností

Případ Monsta FTP a CVE-2025-34299 dokonale ilustrují, proč jsou bezpečnostní přístupy s nulovou důvěrou stále důležitější. Představa, že internetovou aplikaci lze považovat za důvěryhodnou jednoduše proto, že je „aktuální“, je naivní, když se exploitační toky zaměřují na velmi specifické implementační detaily.

Přijetí přístupu nulové důvěryhodnosti zahrnuje neustálé ověřování a monitorování každého přístupového bodu, každého připojení a každé změny konfigurace, spíše než předpoklad, že jakmile je služba nakonfigurována a opravena, už nikdy nebude způsobovat problémy. V případě Monsta FTP to znamená nejen aktualizaci, ale také pravidelnou kontrolu protokolů , chování sítě, integrity souborů a výskytu nových podezřelých souborů (shellů, neznámých skriptů atd.).

Navíc tento incident není ojedinělý případ: i jiné široce používané produkty, jako jsou webové prohlížeče, pravidelně trpí kritickými zranitelnostmi. Nedávným příkladem mimo svět FTP Monsta je zranitelnost CVE-2024-11395 v prohlížeči Google Chrome, což je chyba v enginu V8 , která by mohla umožnit spuštění libovolného kódu prostřednictvím speciálně vytvořených HTML stránek.

V případě Chromu vydal Google stabilní aktualizaci (verze 131.0.6778.85/.86 pro Windows a Mac a 131.0.6778.85 pro Linux), která opravuje tři zranitelnosti, včetně této vysoce závažné. Doporučení byla jasná: okamžitě aktualizovat , povolit automatické aktualizace a vyhýbat se webovým stránkám z pochybných zdrojů. Paralela s Monsta FTP je zřejmá: široce používaný produkt, vážná chyba, potřeba okamžité záplaty, a přesto značné procento systémů potřebuje čas, aby se s touto chybou vypořádalo.

To vše posiluje myšlenku, že bezpečnost není jednorázová událost, ale nepřetržitý proces řízení expozice , jak je tomu u platforem zaměřených na proaktivní řízení externích hrozeb a oblastí útoku. Integrace těchto typů nástrojů a postupů do každodenního provozu umožňuje získat něco tak cenného, ​​jako je reakční doba na nové zranitelnosti.

Zranitelnost CVE-2025-34299 v serveru Monsta FTP, její vztah k předchozím chybám, dlouhá cesta k skutečně účinné záplatě a potřeba doplnit aktualizace o síťové kontroly, WAF, segmentaci a přístup nulové důvěryhodnosti naznačují, že organizace, které zaujmou proaktivní obranný postoj , budou mít mnohem více možností, jak zabránit tomu, aby se jednoduchý webový FTP klient stal vstupní branou k vážnému incidentu.