Monsta FTP 和 CVE-2025-34299：遠端程式碼執行漏洞的完整分析

資訊科技數位 » recursos » Monsta FTP 和 CVE-2025-34299：遠端程式碼執行漏洞的完整分析

Monsta FTP 中的CVE-2025-34299 漏洞已成為近期基於 Web 的檔案管理應用程式中最嚴重的漏洞之一。這個未經身份驗證的遠端程式碼執行漏洞允許攻擊者透過強制連接到惡意 (S)FTP 伺服器並利用路徑和檔案驗證不足，從而完全控制安裝了 Monsta FTP 的伺服器。

這個問題並非個案：它與Monsta FTP之前存在的漏洞（SSRF、任意上傳、部分驗證）以及其略顯混亂的修補程式管理系統有關。該系統引入的驗證機制給人一種虛假的安全感，但並未解決漏洞的根本原因。所有這些因素最終導致了一個嚴重漏洞（CVE），其 CVSS 評分高達 9.3，目前已在實際環境中被利用，並影響網路上的數千個實例。

Monsta FTP是什麼？為什麼這個漏洞很重要？

Monsta FTP 是一款基於 Web 的 FTP 和 SFTP 用戶端，採用 PHP 和 JavaScript 開發，直接安裝在 Web 伺服器上，使用者可以透過 Web 瀏覽器管理文件，無需使用傳統的桌面用戶端。這種方式對於希望隨時隨地上傳、下載和修改檔案而無需額外軟體的管理員和開發人員來說尤其便捷。

問題在於，這類工具一旦暴露在網路上，就很容易成為攻擊者的目標。 Monsta FTP 擁有相當可觀的用戶群，金融機構、企業以及使用它來集中管理網站和伺服器的高級用戶都在使用它。

此外，預設安裝路徑通常是/mftp/，這實際上「隱藏」了許多安裝，使其免受更通用的掃描，但根本無法阻止檢測到該技術的攻擊者嘗試利用已知的漏洞。

在這種情況下，允許遠端匿名攻擊者上傳任意檔案並在伺服器上執行這些檔案的漏洞（例如CVE-2025-34299）尤其嚴重：該應用程式從一個簡單的檔案管理工具變成了直接導致系統完全被攻破的途徑。

CVE-2025-34299的技術描述：故障的起源和性質

watchTown Labs 的研究人員已詳細記錄了漏洞CVE-2025-34299 ，他們將其描述為Monsta FTP 中存在一個可遠端執行程式碼的任意檔案上傳漏洞。此漏洞影響2.11.3 之前的所有版本，允許未經身份驗證的遠端攻擊者利用 Monsta FTP 從 (S)FTP 伺服器下載其控制的文件，並將其保存到 Web 伺服器上的任意路徑，然後執行該文件。

在早期版本（2.11 及更早版本）中，問題與參數處理不安全以及路徑和文件驗證不足有關。先前已有類似漏洞被通報，例如 CVE-2022-27468（任意檔案上傳）和 CVE-2022-31827（SSRF），這些漏洞顯示檔案下載和複製流程的部分環節未得到充分保護。

研究人員發現，儘管後來引入了一個驗證模組（ inputValidator.php ），其中包含許多用於偵測目錄遍歷、絕對路徑、空位元組和可疑模式的功能，但這些防禦措施並未正確應用於實際允許不安全檔案寫入的流程。換句話說，即使部署了所有這些過濾器，攻擊面仍然敞開著。

實際結果是，在 Monsta FTP 2.11.2 版本之前，攻擊者可以強制從受控的 SFTP 伺服器下載文件，並命令將其保存到可從 Web 存取的目錄中，從而以 Web伺服器進程（通常是 www-data 或其他類似用戶）的權限執行程式碼。

如何利用 Monsta FTP API 中的漏洞

這個漏洞的核心在於端點/mftp/application/api/api.php，它是應用程式操作的中心入口點。該端點在 HTTP 請求體中接收一個名為`request`的參數，其中包含結構化的 JSON數據，這些數據用於建立 (S)FTP 連接並對檔案執行操作。

在這個 JSON 檔案中指定了連線類型（connectionType = "sftp")、遠端伺服器設定（configuration：host、port、username、password、home directory）以及要執行的操作名稱（actionName），例如downloadFile、uploadFile或fetchRemoteFile 。其他參數，包括本機路徑和遠端路徑，則包含在上下文部分中。

該應用程式包含一個調度函數，它透過switch 語句根據 actionName 決定執行的操作。 InputValidator 模組的驗證邏輯在這裡發揮作用，它會檢查諸如remotePath或localPath之類的參數，以防止目錄遍歷或存取危險路徑。

然而，研究人員觀察到，在downloadFile操作的具體案例中，實際實作依賴於一種程式碼流程，攻擊者可以透過localPath參數控制遠端檔案複製到的本地路徑。該值最終被直接用於copy()調用，而沒有對可以寫入的目錄進行任何有效的限制。

實際上，這意味著攻擊者可以建構一個發送到/mftp/application/api/api.php 的HTTP POST 請求，指示 Monsta FTP 連接到惡意 SFTP 伺服器，下載一個檔案（例如shell.php），並將其儲存在 Web 伺服器上的任意位置，例如/var/www /html/ mftp/index3 . 。然後，只需向新建立的檔案發送簡單的 GET 請求，即可執行具有伺服器端權限的惡意 PHP 程式碼。

與以往漏洞和修補失敗情況的比較

CVE-2025-34299漏洞並非憑空出現：Monsta FTP先前就存在與使用者輸入和檔案路徑處理不安全相關的漏洞。例如， 2.10.3和2.10.4等版本先前就已受到CVE-2022-31827和CVE-2022-27468的影響，這些漏洞涉及SSRF攻擊和任意檔案上傳。

守望台的詳細調查顯示，儘管有已記錄的CVE漏洞，但2.10.3和2.10.4版本之間的程式碼幾乎沒有任何相關變更。換句話說，後續版本本質上仍然存在同樣的漏洞，而修補程式並沒有從根本上解決導致危險檔案寫入的邏輯問題。

隨著2.11版本的發布，Monsta FTP 引入了inputValidator.php模組，該模組新增了非常全面的驗證功能：能夠檢測類似「../」的字串、硬編碼變體（%2f、%5c 等）、絕對路徑、最大路徑長度以及其他可疑模式。乍一看，這似乎是一次旨在加強安全性的徹底程式碼清理。

然而，當研究人員重新執行 SSRF概念驗證並上傳檔案時，他們發現即使在 2.11 版本中，這些攻擊仍然有效。換句話說，雖然在許多入口點周圍應用了驗證「包裝」層，但使任意寫入成為可能的特定流程並沒有被切斷。

這種模式揭示了許多專案中常見的難題：在實施通用驗證層時，沒有徹底審查導致危險操作（例如在伺服器上開啟、寫入或複製檔案）的關鍵程式碼路徑。結果是，開發人員和管理員都產生了一種虛假的安全感，而核心漏洞依然存在。

未經授權的攻擊和影響範圍

CVE-2025-34299最令人擔憂的特性之一是，該漏洞利用完全無需身份驗證，這意味著攻擊者無需任何有效的憑證或在 Monsta FTP 控制面板中建立任何會話。攻擊者只需確保 Monsta FTP 實例可從互聯網訪問，並且/mftp/application/api/api.php API接受惡意請求即可。

攻擊者一旦獲得執行Web伺服器程式碼的權限，便可安裝後門、部署Web Shell、讀取或修改應用程式文件，甚至在網路架構未進行適當隔離的情況下，還能橫向移動到內部網路中的其他系統。在企業或金融環境中，這可能導致敏感資料被盜、詐欺或嚴重的業務中斷。

由於Monsta FTP 的廣泛應用，此次漏洞的影響規模進一步擴大。根據研究人員估計，網路上存在數千個 Monsta FTP 實例。由於預設的/mftp/上下文，其中許多實例甚至不會出現在通用掃描中，這使得組織難以確定自身是否實際存在此漏洞，以及存在漏洞的特定版本。

另一個關鍵點是，只要Web伺服器可訪問，並且網路層面能夠連接到惡意SFTP伺服器，那麼該漏洞就可以從世界任何地方被利用。如果沒有防火牆規則限制伺服器到網際網路的出站連接，那麼利用該漏洞將變得極為容易。

在這種情況下，攻擊者可以自動掃描和利用存在漏洞的 Monsta FTP，並將其整合到大規模攻擊活動中，用於勒索軟體、安裝殭屍網路或竊取憑證。

受影響的版本、時間軸和可用補丁

漏洞CVE-2025-34299影響Monsta FTP 2.11.3 之前的所有版本。這包括其他已註冊 CVE 的分支（2.10.3、2.10.4、2.11、2.11.1、2.11.2），這些分支在下載和複製檔案的內部邏輯中仍然存在此問題。

根據watchTown的研究，已知的發現和修復過程的時間順序大致如下：

• 13月2025watchTowr 向 Monsta FTP 開發團隊報告了這個漏洞（稱為 WT-2025-0091）。
• 14月2025Monsta FTP 團隊已收到該報告，並承諾會審查該問題。
• 15月2025watchTowr 對其客戶的攻擊面進行了更廣泛的分析，以尋找 Monsta FTP 的漏洞實例。
• 26月2025該版本已發布 2.11.3 來自 Monsta FTP，他們最終 有效修正了漏洞 解決寫作過程中缺乏流暢性的問題。
• 4月2025該標識符已正式分配。 CVE-2025，34299 存在這種漏洞。
• 6月2025守望台公佈了對此故障的詳細技術調查結果。

從2.11.3版本開始，程式碼引入了額外的控制措施，將寫入路徑限制在允許的目錄中，並加強了參數驗證，防止 localPath 被隨意用於寫入 Web 伺服器可能提供的系統位置。

分析師和安全廠商普遍達成共識：任何仍在運行2.11.3 之前版本的組織都應該立即升級，或者，如果不能升級，則在規劃遷移期間禁用對 Monsta FTP 的公共訪問。

如何辨識 Monsta FTP 的漏洞實例

在組織內部尋找所有 Monsta FTP 實例並非易事，尤其是一些老舊或已被遺忘的伺服器上，該工具多年前就已安裝，之後卻從未進行過檢查。這時，攻擊面管理和資產發現解決方案就顯得格外重要。

像runZero這樣的工具發布了一些特定的查詢語句，可以幫助使用者根據應用程式的圖示（favicon）等特徵識別潛在漏洞。以下是一個建議的查詢語句範例：

_asset.protocol:http AND protocol:http AND favicon.ico.image.mmh3:="1535999103"

此查詢會識別出圖示與 Monsta FTP 相符的 HTTP 服務，從而提供初步的系統列表，這些系統需要進行詳細的版本和配置審查。接下來，必須手動驗證已安裝的版本，並確認是否已套用 2.11.3 或更高版本的修補程式。

除了這些類型的搜尋之外，建議執行內部盤點（例如，使用腳本或掃描工具），尋找Web 伺服器上的/mftp/路徑並檢查應用程式文件，因為某些安裝可能不遵循連接埠或網域的標準配置。

緩解措施和良好的防禦實踐

雖然緩解CVE-2025-34299漏洞的根本步驟是將 Monsta FTP 更新到 2.11.3 或更高版本，但僅僅應用修補程式就置之不理是不可取的。這次事件清楚地表明，此類應用程式需要額外的安全防護層。

首先，強烈建議限制對Monsta FTP API 的存取。 /mftp/application/api/api.php 端點不應從網際網路上的任何 IP 位址公開存取。理想情況下，應透過防火牆或存取控制清單過濾流量，僅允許特定範圍（例如，企業 VPN 網路）的流量訪問，甚至將其使用限制在內網；在 Linux 伺服器上，常用的過濾方法是使用iptables。

其次，必須實施適當的網路分段。託管 Monsta FTP 等應用程式的 Web 伺服器不應擁有對關鍵系統（核心資料庫、ERP 系統、財務系統等）的直接存取權限。透過良好的網路分段和對TCP/IP 模型的理解，即使 Web 伺服器遭到入侵，攻擊者也很難進行橫向移動。

另一個重要措施是監控異常的出站連接，特別是那些與連接到不尋常外部目標相關的 SFTP、FTP 或 SSH 連接。利用此漏洞需要易受攻擊的伺服器連接到攻擊者控制的 (S)FTP 伺服器，因此配置完整的監控系統或 SIEM 系統應能夠在偵測到此類可疑流量時發出警報。

最後，建議部署並正確配置Web 應用程式防火牆 (WAF)，並應用伺服器加固策略：降低寫入權限，確保 Web 伺服器進程以盡可能低的權限運行，並定期執行漏洞掃描，以檢測更新周期中落後的舊實例或版本。

零信任、持續監控以及其他漏洞的背景資訊

Monsta FTP 漏洞和 CVE-2025-34299 完美地詮釋了為何零信任安全方法日益重要。認為一個面向互聯網的應用程式僅僅因為「保持最新」就值得信任的想法是天真的，因為攻擊流程往往聚焦於非常具體的實現細節。

採用零信任策略意味著持續驗證和監控每個存取點、每個連線和每次設定更改，而不是假設服務一旦設定和修補完畢就不會再出現問題。對於 Monsta FTP 而言，這意味著不僅要更新，還要定期審查日誌、網路行為、檔案完整性以及新出現的可疑檔案（例如 shell、未知腳本等）。

此外，這並非個案：其他廣泛部署的產品，例如網頁瀏覽器，也經常遭受嚴重漏洞的攻擊。 Monsta FTP 領域之外的一個例子是Google Chrome 瀏覽器中的CVE-2024-11395漏洞，這是一個V8 引擎中的類型混淆缺陷，可能允許攻擊者透過精心建構的 HTML 頁面執行任意程式碼。

針對 Chrome 瀏覽器，Google發布了穩定版更新（Windows 和 Mac 版本為131.0.6778.85/.86，Linux版本為131.0.6778.85），修復了三個漏洞，其中包括這個高風險漏洞。谷歌的建議很明確：立即更新、啟用自動更新，並避免造訪來源可疑的網站。這與 Monsta FTP 的情況非常相似：兩者都是廣泛使用的產品，都存在嚴重漏洞，都需要立即發布補丁，但相當一部分系統卻需要一段時間才能完成更新。

所有這些都強化了安全並非一次性事件，而是一個持續的風險敞口管理過程，就像那些專注於主動管理外部威脅和攻擊面的平台一樣。將這些工具和實踐融入日常運營，能夠帶來諸如對新漏洞做出快速反應等寶貴優勢。

Monsta FTP 中的 CVE-2025-34299 漏洞、它與先前缺陷的關係、真正有效的補丁的漫長之路，以及需要用網絡控制、WAF、分段和零信任方法來補充更新，都描繪出這樣一幅圖景：採取主動防禦姿態的組織將有更多選擇來防止簡單的 FTP Web 用戶端成為嚴重事件的入口。