Monsta FTP at CVE-2025-34299: Kumpletuhin ang pagsusuri ng kahinaan ng RCE

Informatec Digital » Kayamanan » Monsta FTP at CVE-2025-34299: Kumpletuhin ang pagsusuri ng kahinaan ng RCE

Ang kahinaan ng CVE-2025-34299 sa Monsta FTP ay naging isa sa mga pinakamalalang depekto nitong mga nakaraang panahon para sa mga web-based na aplikasyon sa pamamahala ng file. Ang hindi awtorisadong depekto sa pagpapatupad ng remote code na ito ay nagbibigay-daan sa isang attacker na kontrolin nang buo ang server kung saan naka-install ang Monsta FTP, sa pamamagitan lamang ng pagpwersa ng koneksyon sa isang malisyosong (S)FTP server at pagsasamantala sa hindi sapat na path at pagpapatunay ng file.

Ang problemang ito ay hindi isang nakahiwalay na kaso: ito ay may kaugnayan sa isang nakaraang kasaysayan ng mga kahinaan sa Monsta FTP (SSRF, arbitrary uploads, partial validations) at isang medyo nakalilitong patch management system, kung saan ipinakilala ang mga mekanismo ng pagpapatunay na nagbigay ng maling pakiramdam ng seguridad ngunit hindi natugunan ang ugat ng depekto. Ang lahat ng ito ay nagresulta sa isang kritikal na CVE na may CVSS score na 9.3 na ginagamit na sa mga totoong kapaligiran at nakakaapekto sa libu-libong pagkakataon sa internet.

Ano ang Monsta FTP at bakit mahalaga ang kahinaan na ito?

Ang Monsta FTP ay isang web-based na FTP at SFTP client , na binuo sa PHP at JavaScript, na direktang naka-install sa isang web server upang pamahalaan ang mga file sa pamamagitan ng isang web browser, sa halip na gumamit ng tradisyonal na desktop client. Ginagawang mas maginhawa ito ng pamamaraang ito para sa mga administrator at developer na gustong mag-upload, mag-download, at magbago ng mga file mula sa kahit saan nang walang karagdagang software.

Ang problema ay ang mga ganitong uri ng tool, na nakalantad sa internet, ay nagiging isang kaakit-akit na target para sa mga umaatake . Ang Monsta FTP ay may malaking naka-install na base, na may presensya sa mga institusyong pinansyal, negosyo, at mga advanced na user na gumagamit nito upang sentralisadong pamahalaan ang kanilang mga website at server.

Bukod pa rito, ang default na landas ng pag-install ay karaniwang /mftp/ , na sa pagsasagawa ay "nagtatago" ng maraming pag-install mula sa mas generic na mga scan, ngunit hindi nito pinipigilan ang isang umaatake na nakakakita ng teknolohiya na subukang gamitin ang mga kilalang kahinaan.

Sa kontekstong ito, ang isang depekto na nagpapahintulot sa isang remote at hindi nagpapakilalang attacker na mag-upload ng mga arbitraryong file at isagawa ang mga ito sa server, tulad ng sa CVE-2025-34299 , ay lalong seryoso: ang application ay mula sa pagiging isang simpleng tool sa pamamahala ng file ay naging isang direktang vector ng kabuuang kompromiso sa system.

Teknikal na paglalarawan ng CVE-2025-34299: pinagmulan at likas na katangian ng kasalanan

Ang kahinaan na CVE-2025-34299 ay detalyadong naidokumento ng mga mananaliksik sa watchTown Labs, na naglalarawan dito bilang isang arbitraryong depekto sa pag-upload ng file na may remote code execution sa Monsta FTP. Ang depekto ay nakakaapekto sa lahat ng bersyon bago ang 2.11.3 at nagpapahintulot sa isang hindi awtorisadong remote attacker na ipa-download sa Monsta FTP ang isang file na kanilang kontrolado mula sa isang (S)FTP server at i-save ito sa isang arbitraryong path sa web server, kung saan maaari itong isagawa.

Sa mga unang bersyon (hanggang 2.11), ang problema ay nauugnay sa hindi ligtas na paghawak ng mga parameter at ang kakulangan ng matatag na pagpapatunay ng mga path at file . Naiulat na ang mga katulad na kahinaan, tulad ng CVE-2022-27468 (arbitrary file upload) at CVE-2022-31827 (SSRF), na nagbigay-diin na ang bahagi ng daloy ng pag-download at pagkopya ng file ay hindi sapat na protektado.

Natukoy ng mga mananaliksik na, bagama't ipinakilala kalaunan ang isang validation module ( inputValidator.php ) na may maraming function upang matukoy ang directory traversal, absolute paths, null bytes, at mga kahina-hinalang pattern , ang mga depensang ito ay hindi wastong nailapat sa daloy na talagang nagpapahintulot sa hindi secure na pagsulat ng file. Sa madaling salita, nanatiling bukas ang attack surface kahit na nakalagay na ang lahat ng mga filter na iyon.

Ang praktikal na resulta ay, sa Monsta FTP hanggang sa bersyon 2.11.2, maaaring pilitin ng isang attacker ang pag-download ng isang file mula sa isang kontroladong SFTP server at utusan itong i-save sa isang direktoryong maa-access mula sa web, sa gayon ay nakakamit ang pagpapatupad ng code nang may mga pahintulot ng proseso ng web server , kadalasan ay www-data o iba pang katulad na user.

Paano pagsamantalahan ang kahinaan sa Monsta FTP API

Ang pangunahing bahagi ng kahinaan ay nasa endpoint na /mftp/application/api/api.php , na nagsisilbing sentral na punto para sa mga aksyon ng application. Ang endpoint na ito ay tumatanggap ng isang parameter na tinatawag na `request` sa katawan ng HTTP request, na naglalaman ng structured JSON na may lahat ng data na kinakailangan upang maitatag ang koneksyon na (S)FTP at magsagawa ng mga aksyon sa mga file.

Sa loob ng JSON file na iyon, ang mga aspeto tulad ng uri ng koneksyon ( connectionType = "sftp"), ang configuration ng remote server ( configuration : host, port, username, password, home directory), at ang pangalan ng aksyon na isasagawa ( actionName ), tulad ng downloadFile , uploadFile, o fetchRemoteFile , ay tinukoy. Ang mga karagdagang parameter, kabilang ang mga lokal at remote na path, ay kasama sa seksyon ng konteksto .

Kasama sa application ang isang dispatch function na, sa pamamagitan ng isang switch statement , ay nagpapasya kung ano ang gagawin batay sa actionName. Dito pumapasok ang validation logic ng InputValidator module , sinusuri ang mga parameter tulad ng remotePath o localPath para sa ilang partikular na aksyon, sinusubukang pigilan ang mga directory traversal o mapanganib na path.

Gayunpaman, naobserbahan ng mga mananaliksik na, sa partikular na kaso ng aksyong downloadFile , ang aktwal na implementasyon ay umaasa sa isang daloy ng code kung saan ang lokal na path kung saan kinopya ang remote file ay nananatiling kontrolado ng attacker sa pamamagitan ng localPath parameter . Ang value na ito ay direktang ginamit sa tawag na copy() nang walang anumang epektibong paghihigpit sa kung aling mga direktoryo ang maaaring sulatan.

Sa pagsasagawa, nangangahulugan ito na ang isang attacker ay maaaring bumuo ng isang HTTP POST request sa /mftp/application/api/api.php na nag-uutos sa Monsta FTP na kumonekta sa isang malisyosong SFTP server, mag-download ng file (halimbawa, shell.php ), at iimbak ito sa isang arbitraryong lokasyon sa web server, tulad ng /var/www/html/mftp/index3.php . Pagkatapos, isang simpleng GET request sa bagong gawang file na lang ang kailangan upang maisagawa ang malisyosong PHP code na may mga pribilehiyo sa server-side.

Paghahambing sa mga nakaraang kahinaan at mga pagkabigo sa pag-patch

Ang kahinaan ng CVE-2025-34299 ay hindi basta-basta lumitaw: Ang Monsta FTP ay mayroon nang kasaysayan ng mga kahinaan na may kaugnayan sa hindi ligtas na paghawak ng input ng user at mga path ng file. Ang mga bersyon tulad ng 2.10.3 at 2.10.4 ay naapektuhan na ng CVE-2022-31827 at CVE-2022-27468, na kinasasangkutan ng parehong SSRF at mga arbitraryong pag-upload ng file.

Ipinakita ng detalyadong imbestigasyon ng WatchTower na halos walang anumang kaugnay na pagbabago sa code sa pagitan ng mga bersyon 2.10.3 at 2.10.4, sa kabila ng pagkakaroon ng mga dokumentadong CVE. Sa madaling salita, ang mga mas bagong bersyon ay nanatiling mahina laban sa parehong mga problema , at ang mga patch ay hindi istruktural na tumutugon sa lohika na nagpapahintulot sa mapanganib na pagsulat ng file.

Sa paglabas ng bersyon 2.11 , ipinakilala ng Monsta FTP ang inputValidator.php module , na nagdagdag ng napakakomprehensibong mga tampok sa pagpapatunay: pagtuklas ng mga string tulad ng "../", mga naka-hardcode na variant (%2f, %5c, atbp.), mga absolute path, maximum na haba ng path, at iba pang kahina-hinalang pattern. Sa unang tingin, tila ito ay isang masusing paglilinis ng code na naglalayong palakasin ang seguridad.

Gayunpaman, nang muling patakbuhin ng mga mananaliksik ang SSRF proof-of-concept at mag-upload ng mga file, natuklasan nila na gumagana pa rin ang mga pag-atake kahit na sa bersyon 2.11. Sa madaling salita, isang validation "wrap" layer ang nailapat sa maraming entry point, ngunit ang partikular na daloy na nagbigay-daan sa arbitraryong pagsulat ay hindi pa napuputol.

Inilalarawan ng pattern na ito ang isang karaniwang problema sa maraming proyekto: ang pagpapatupad ng mga pangkalahatang layer ng pagpapatunay nang hindi lubusang sinusuri ang mga kritikal na path ng code na humahantong sa mga mapanganib na operasyon tulad ng pagbubukas, pagsulat, o pagkopya ng mga file sa server. Ang resulta ay isang maling pakiramdam ng seguridad para sa parehong mga developer at administrator, habang ang pangunahing kahinaan ay nananatiling bukas.

Pagsasamantala nang walang mga kredensyal at saklaw ng epekto

Isa sa mga pinakanakababahalang katangian ng CVE-2025-34299 ay ang exploit ay ganap na pre-auth , ibig sabihin ay walang kinakailangang wastong kredensyal o paunang sesyon sa Monsta FTP panel. Kailangan lamang ng attacker na ma-access ang Monsta FTP instance mula sa internet at para tanggapin ng /mftp/application/api/api.php API ang malisyosong kahilingan.

Sa pamamagitan ng pagkakaroon ng kakayahang magpatupad ng code gamit ang mga pahintulot sa web server, maaaring mag-install ang isang attacker ng mga backdoor , mag-deploy ng mga webshell, magbasa o magbago ng mga application file, at maging lumipat sa iba pang mga system sa internal network kung ang arkitektura ay hindi maayos na na-segment. Sa mga enterprise o pinansyal na kapaligiran, maaari itong humantong sa pagnanakaw ng sensitibong data, pandaraya, o malubhang pagkaantala sa serbisyo.

Ang laki ng epekto ay pinatindi pa ng malaking pag-aampon ng Monsta FTP , na may ilang libong instances na maa-access sa internet, ayon sa mga pagtatantya ng mga mananaliksik. Marami sa mga ito ay hindi man lang lumalabas sa mga generic scan dahil sa default na /mftp/ na konteksto , na nagpapahirap sa mga organisasyon na malaman kung talagang nalantad na nila ang kahinaang ito at, kung gayon, kung aling bersyon.

Isa pang kritikal na punto ay ang kahinaan ay maaaring pagsamantalahan mula sa kahit saan sa mundo, basta't maa-access ang web server at posible ang koneksyon sa malisyosong SFTP server sa antas ng network. Kung walang mga panuntunan sa firewall na naghihigpit sa mga outbound na koneksyon mula sa server patungo sa internet, ang pagsasamantala ay nagiging napakasimple.

Sa ganitong sitwasyon, maaaring i-automate ng mga attacker ang mga pag-scan at pagsasamantala sa mga mahihinang Monsta FTP, na isinasama ito sa kanilang mga kampanya ng malawakang pag-atake , kapwa para sa ransomware at para sa pag-install ng mga botnet o pagnanakaw ng mga kredensyal.

Mga apektadong bersyon, timeline, at available na patch

Ang kahinaan na CVE-2025-34299 ay nakakaapekto sa lahat ng bersyon ng Monsta FTP bago ang 2.11.3 . Kabilang dito ang mga sangay kung saan nakarehistro na ang iba pang mga CVE (2.10.3, 2.10.4, 2.11, 2.11.1, 2.11.2) at patuloy na nagdadala ng problema sa panloob na lohika ng pag-download at pagkopya ng mga file.

Ang kilalang kronolohiya ng proseso ng pagtuklas at pag-aayos ay, sa pangkalahatan, ang mga sumusunod, ayon sa pananaliksik ng watchTown:

• 13 Agosto 2025: Ang watchTowr ay nag-uulat ng kahinaan (tinukoy bilang WT-2025-0091) sa Monsta FTP development team.
• 14 Agosto 2025Kinikilala ng koponan ng Monsta FTP ang pagtanggap ng ulat at nangangako na suriin ang isyu.
• 15 Agosto 2025: Ang watchTowr ay nagpasimula ng isang mas malawak na pagsusuri sa ibabaw ng pag-atake ng mga customer nito sa paghahanap ng mga bulnerableng pagkakataon ng Monsta FTP.
• 26 Agosto 2025Ang bersyon ay nai-publish 2.11.3 mula sa Monsta FTP, na sa wakas epektibong itinatama ang kahinaan pagtugon sa hindi secure na daloy ng pagsulat.
• 4 Nobyembre 2025Ang identifier ay opisyal na itinalaga. CVE-2025-34299 sa kahinaan na ito.
• 6 Nobyembre 2025Ini-publish ng WatchTower ang detalyadong teknikal na pagsisiyasat nito sa kabiguan.

Simula sa bersyon 2.11.3 , ang code ay nagpapakilala ng mga karagdagang kontrol na naghihigpit sa mga write path sa mga pinapayagang direktoryo at nagpapalakas sa pagpapatunay ng parameter, na pumipigil sa localPath na magamit nang arbitraryo upang magsulat sa mga lokasyon ng system na maaaring pinaglilingkuran ng web server.

Malinaw ang pangkalahatang pinagkasunduan ng mga analyst at mga vendor ng seguridad: ang anumang organisasyon na gumagamit pa rin ng mga bersyon bago ang 2.11.3 ay dapat mag-upgrade kaagad o, kung hindi nila magagawa, i-disable ang pampublikong access sa Monsta FTP habang pinaplano ang migration.

Paano matukoy ang mga vulnerable na pagkakataon ng Monsta FTP

Hindi laging madali ang paghahanap ng lahat ng instance ng Monsta FTP sa loob ng isang organisasyon, lalo na kapag may mga luma o nakalimutang server kung saan na-install ang tool ilang taon na ang nakalilipas at hindi na muling nasuri. Dito pumapasok ang mga solusyon sa attack surface management at asset discovery.

Ang mga tool tulad ng runZero ay naglathala ng mga partikular na query upang makatulong na matukoy ang mga potensyal na kahinaan batay sa mga feature tulad ng favicon ng application. Ang isang halimbawa ng isang iminungkahing query ay:

_asset.protocol:http AND protocol:http AND favicon.ico.image.mmh3:="1535999103"

Tinutukoy ng query na ito ang mga serbisyo ng HTTP na ang favicon ay tumutugma sa sa Monsta FTP, na nagbibigay ng paunang listahan ng mga sistema na nangangailangan ng detalyadong bersyon at pagsusuri ng configuration . Mula roon, mahalagang manu-manong i-validate ang naka-install na bersyon at i-verify kung nailapat na ang patch 2.11.3 o mas bago.

Bukod sa mga ganitong uri ng paghahanap, ipinapayong magsagawa ng mga panloob na imbentaryo (halimbawa, gamit ang mga script o mga tool sa pag-scan) na naghahanap ng /mftp/ path sa mga web server at sinusuri ang mga file ng application, dahil ang ilang mga instalasyon ay maaaring hindi sumusunod sa karaniwang configuration ng mga port o domain.

Mga hakbang sa pagpapagaan at mahusay na mga kasanayan sa pagtatanggol

Bagama't ang pangunahing hakbang upang mapagaan ang CVE-2025-34299 ay ang pag-update ng Monsta FTP sa bersyon 2.11.3 o mas bago , ang simpleng paglalapat ng patch at paglimot dito ay isang masamang ideya. Nilinaw ng pangyayaring ito na kailangan ang mga karagdagang patong ng seguridad sa mga ganitong uri ng aplikasyon.

Una, lubos na inirerekomenda na paghigpitan ang access sa Monsta FTP API. Ang endpoint /mftp/application/api/api.php ay hindi dapat maging bukas na ma-access mula sa anumang IP address sa internet. Sa isip, ang trapiko ay dapat i-filter sa pamamagitan ng mga firewall o access control list, na nagpapahintulot lamang ng mga partikular na saklaw (halimbawa, ang corporate VPN network) o kahit na paghigpitan ang paggamit nito sa isang intranet; isang karaniwang opsyon sa mga Linux server ay ang paggamit ng iptables para sa pag-filter na ito.

Pangalawa, dapat ipatupad ang wastong segmentasyon ng network . Ang mga web server na nagho-host ng mga application tulad ng Monsta FTP ay hindi dapat magkaroon ng walang limitasyong direktang access sa mga kritikal na sistema (mga pangunahing database, ERP, mga sistemang pinansyal, atbp.). Sa pamamagitan ng mahusay na segmentasyon at pag-unawa sa modelo ng TCP/IP , kahit na nakompromiso ang web server, mas mahihirapan ang umaatake na gumalaw nang pahilig.

Ang isa pang mahalagang hakbang ay ang pagsubaybay para sa mga maanomalyang outbound connection , lalo na ang mga nauugnay sa SFTP, FTP, o SSH sa mga hindi pangkaraniwang external destination. Ang paggamit ng kahinaang ito ay nangangailangan ng vulnerable server na kumonekta sa isang (S)FTP server na kontrolado ng attacker, kaya ang isang mahusay na na-configure na monitoring system o SIEM ay dapat na makapaglabas ng mga alerto kapag natukoy nito ang ganitong uri ng kahina-hinalang trapiko.

Panghuli, inirerekomenda na i-deploy at maayos na i-configure ang isang web application firewall (WAF) at maglapat ng mga patakaran sa pagpapatigas ng server: bawasan ang mga pahintulot sa pagsusulat, tiyaking tumatakbo ang proseso ng web server nang may pinakamababang posibleng pribilehiyo , at magsagawa ng mga regular na vulnerability scan upang matukoy ang mga lumang instance o bersyon na nahuli sa cycle ng pag-update.

Walang tiwala, patuloy na pagsubaybay, at konteksto ng iba pang mga kahinaan

Ang kaso ng Monsta FTP at ang CVE-2025-34299 ay perpektong naglalarawan kung bakit lalong kinakailangan ang mga pamamaraan ng seguridad na zero-trust . Ang ideya na ang isang aplikasyon na nakaharap sa internet ay maituturing na mapagkakatiwalaan dahil lamang sa ito ay "napapanahon" ay walang muwang kapag ang mga daloy ng pagsasamantala ay nakatuon sa mga napaka-espesipikong detalye ng pagpapatupad.

Ang paggamit ng zero-trust na pamamaraan ay kinabibilangan ng patuloy na pag-validate at pagsubaybay sa bawat access point, bawat koneksyon, at bawat pagbabago sa configuration, sa halip na ipagpalagay na kapag na-configure at na-patch na, ang isang serbisyo ay hindi na muling magdudulot ng mga problema. Sa kaso ng Monsta FTP, nangangahulugan ito hindi lamang ng pag-update kundi pati na rin ng regular na pagsusuri sa mga log , gawi ng network, integridad ng file, at ang paglitaw ng mga bagong kahina-hinalang file (mga shell, hindi kilalang script, atbp.).

Bukod pa rito, ang insidenteng ito ay hindi isang nakahiwalay na kaso: ang iba pang malawakang ginagamit na mga produkto, tulad ng mga web browser, ay regular ding nakakaranas ng mga kritikal na kahinaan. Ang isang kamakailang halimbawa sa labas ng mundo ng Monsta FTP ay ang kahinaan na CVE-2024-11395 sa Google Chrome, isang uri ng depekto sa kalituhan sa V8 engine na maaaring magpahintulot sa arbitraryong pagpapatupad ng code sa pamamagitan ng mga espesyal na ginawang HTML page.

Sa kaso ng Chrome, naglabas ang Google ng isang matatag na update (mga bersyon 131.0.6778.85/.86 sa Windows at Mac, at 131.0.6778.85 sa Linux) upang ayusin ang tatlong kahinaan, kabilang ang isang ito na may mataas na antas ng kalubhaan. Malinaw ang mga rekomendasyon: mag-update kaagad , paganahin ang mga awtomatikong pag-update, at iwasan ang mga website mula sa mga kahina-hinalang mapagkukunan. Kitang-kita ang pagkakatulad nito sa Monsta FTP: isang malawakang ginagamit na produkto, isang malubhang depekto, ang pangangailangan para sa isang agarang patch, ngunit isang malaking porsyento ng mga sistema ang nangangailangan ng oras upang makahabol.

Pinatitibay ng lahat ng ito ang ideya na ang seguridad ay hindi isang minsanang pangyayari, kundi isang patuloy na proseso ng pamamahala ng pagkakalantad , gaya ng sa mga platform na nakatuon sa proaktibong pamamahala ng mga panlabas na banta at mga ibabaw ng pag-atake. Ang pagsasama ng mga ganitong uri ng tool at kasanayan sa pang-araw-araw na operasyon ay nagbibigay-daan para sa pagkakaroon ng isang bagay na kasinghalaga ng oras ng reaksyon sa mga bagong kahinaan.

Ang kahinaan ng CVE-2025-34299 sa Monsta FTP, ang kaugnayan nito sa mga nakaraang depekto, ang mahabang daan patungo sa isang tunay na epektibong patch, at ang pangangailangang dagdagan ang mga update gamit ang mga kontrol sa network, WAF, segmentasyon, at isang zero-trust na diskarte, ay naglalarawan kung saan ang mga organisasyong gumagamit ng proactive defense posture ay magkakaroon ng mas maraming opsyon upang maiwasan ang isang simpleng FTP web client na maging daan patungo sa isang malubhang insidente.