Aktywnie wykorzystywana w atakach

Gladinet CentreStack and Triofox Use of Hard-coded Cryptographic Key Vulnerability

Gladinet - CentreStack · Figuruje w katalogu CISA KEV od 2025-04-08. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

CVE-2025-30406

KrytyczneCVSS 9.0KEV

Opublikowano: 03/04/2025(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Gladinet CentreStack do wersji 16.1.10296.56315 (poprawione w 16.4.10315.56368) zawiera podatność deserializacji z powodu użycia zaszytego na stałe machineKey w portalu CentreStack, co było wykorzystywane w środowisku naturalnym w marcu 2025. Umożliwia to atakującym (znającym machineKey) serializację ładunku do deserializacji po stronie serwera w celu zdalnego wykonania kodu.

Ocena ryzyka

Atakujący znający machineKey może wykonać dowolny kod na serwerze, co może prowadzić do pełnej kompromitacji systemu i danych.

Rekomendacja

Zaleca się aktualizację CentreStack do wersji 16.4.10315.56368 lub nowszej oraz ręczne usunięcie machineKey z pliku portal\web.config, jeśli to możliwe.

Inne podatności w Gladinet CentreStack

CVE-2025-14611KrytyczneAktywnie exploitowane
Gladinet CentreStack i Triofox przed wersją 16.12.10420.56791 używały twardo zakodowanych wartości w implementacji schematu kryptograficznego AES. To obniża bezpieczeństwo publicznie dostępnych punktów końcowych i może umożliwić dowolne lokalne dołączanie plików przy specjalnie spreparowanym żądaniu bez uwierzytelnienia. Otwiera to drzwi do przyszłych exploitów i może być wykorzystane z wcześniejszymi podatnościami do pełnego przejęcia systemu.

Oryginalny opis (angielski, źródło NVD)

Gladinet CentreStack through 16.1.10296.56315 (fixed in 16.4.10315.56368) has a deserialization vulnerability due to the CentreStack portal's hardcoded machineKey use, as exploited in the wild in March 2025. This enables threat actors (who know the machineKey) to serialize a payload for server-side deserialization to achieve remote code execution. NOTE: a CentreStack admin can manually delete the machineKey defined in portal\web.config.