Gladinet CentreStack / Triofox の未認証ローカルファイル読み取り（悪用確認済み）

High（CVSS 7.5）に分類されるGladinet CentreStack / Triofoxの脆弱性です。ファイル共有・リモートアクセス製品 Gladinet CentreStack と Triofox の既定インストール・既定設定に、未認証で到達できるローカルファイルインクルードがある。認証を経ずにシステムファイルの内容を読み出せるため、設定ファイルに含まれる機械鍵や接続情報が外部に露出する。NVD の記述は「Exploitation of this vulnerability has been observed in the wild」と明記しており、実際の悪用が観測されたうえでの公開である。影響は 16.7.10368.56560 以前の全バージョン。NVD の CPE 範囲では CentreStack が 16.10.10408.56683 未満、Triofox が 16.7.10368.56560 以下となっている。CVSS は CISA-ADP による CVSS 3.1 の 7.5 High（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）のみで、NVD 自身の Primary スコアと製品ベンダーによるスコアは付与されていない。機密性のみ High で完全性・可用性への直接影響が無いのは、この欠陥単体ではファイルの読み取りに留まるという評価である。ただし読み取れる情報が他の脆弱性と組み合わされる前提で扱う必要がある。NVD の vulnStatus は Analyzed。CISA KEV には 2025-11-04 に収載され、是正期限は 2025-11-25。ランサムウェア利用は Unknown（不明）。

まず自分の環境に CentreStack / Triofox があるかを確定させる。この製品は MSP や情報システム部門が「社内ファイルサーバを外から見せる」目的で立てていることが多く、資産台帳から漏れやすい。判定は管理コンソールのバージョン表示を見て、16.7.10368.56560 以下（Triofox）または 16.10.10408.56683 未満（CentreStack）なら該当とする。到達性の確認も同時に行う。この欠陥は未認証で到達できることが前提なので、当該サーバの HTTPS ポートがインターネットから直接見えているかを、ロードバランサ・リバースプロキシ・ファイアウォール規則で確認する。対応は、ベンダーのリリース履歴（CentreStack は gce_latest_release、Triofox は releases_history）で修正済みと確認できる版へ更新することである。更新までの緩和は、インターネットからの到達を止めて VPN 経由や社内限定に切り替えることで、この経路は未認証アクセスが前提のため経路を閉じるだけで攻撃は成立しなくなる。重要なのは、この CVE は既に実環境での悪用が観測されている点である。外部公開していた期間があるなら、更新だけで終わらせてはいけない。読み取られた可能性のあるファイル（アプリの設定ファイル、接続文字列、機械鍵）を前提に、当該サーバが保持していた資格情報を再発行し、Web サーバのアクセスログで不審なパス指定を含むリクエストを遡って探す。同一製品では CVE-2025-12480（初期セットアップ画面への不正アクセス）や CVE-2025-14611（ハードコードされた暗号鍵）も KEV に収載されており、攻撃者はこれらを連鎖させて完全な侵害に至る手口を取っている。したがって完了条件は、（1）3件すべてが解消される版へ更新済み、（2）外部公開を止めるか到達範囲を絞った、（3）公開実績があるなら資格情報の再発行とログ確認が済んでいること。KEV 是正期限 2025-11-25 は経過しているため、残存があれば期限超過として扱う。

Gladinet CentreStack / Triofox を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-11371）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/11/25 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。