Gladinet Triofox の初期設定画面へ未認証アクセス（悪用確認済み）

Critical（CVSS 9.1）に分類されるGladinet Triofoxの脆弱性です。Gladinet Triofox のアクセス制御に不備があり、初期セットアップが完了した後でもセットアップ用のページへ到達できる。セットアップ画面は本来インストール直後にしか使わないもので、管理者アカウントの作成などを認証なしで行える性質を持つため、これが公開状態のまま残ることは実質的な管理権限の奪取につながる。影響は 16.7.10368.56560 より前の Triofox。CVSS は CNA である Mandiant（Google）による CVSS 3.1 の 9.1 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N）で、NVD 自身の Primary スコアは付与されていない。可用性のみ影響なしと評価されているのは、この欠陥がサービス停止ではなく権限とデータの奪取に向くという判断である。Mandiant は自社の脆弱性開示（MNDT-2025-0008）と Google Cloud のブログで実際の攻撃キャンペーンを報告しており、NVD の参照にも Exploit タグ付きで収載されている。NVD の vulnStatus は Analyzed。CISA KEV には 2025-11-12 に収載され、是正期限は 2025-12-03。ランサムウェア利用は Unknown（不明）。

判定はバージョン確認と到達確認の2つで済む。まず管理コンソールで版を見て 16.7.10368.56560 より前なら該当とする。次に、外部から当該サーバのセットアップ用パスに到達できるかを確認する。到達できる状態は「インストール直後に閉じるべきものが開いたまま」であり、脆弱性というより設定の露出として現場で発見しやすい。対応はベンダーのリリース履歴（access.triofox.com/releases_history）で修正済みと確認できる版へ更新することである。更新前の緩和としては、前段のリバースプロキシやロードバランサでセットアップ関連パスへのアクセスを拒否する、あるいは Triofox 自体をインターネットから切り離して VPN 経由に限定する方法が取れる。この CVE の実務上の重さは、悪用が実際に観測されていることと、攻撃者が管理者権限を取ったあとの動きが速いことにある。Mandiant の報告どおり、初期設定経路から管理者を作られた場合、更新しても攻撃者が作ったアカウントは残る。したがって更新後に、Triofox の管理者アカウント一覧を洗って見覚えのないアカウントを削除し、既存管理者のパスワードを変更し、共有設定やユーザー招待の履歴を確認する必要がある。加えて、Triofox が接続しているファイルサーバ側の権限（サービスアカウント）も奪取された前提で見直す。同一製品では CVE-2025-11371（未認証のファイル読み取り）と CVE-2025-14611（ハードコード暗号鍵）も KEV に収載されているため、更新は3件をまとめて解消する版を狙うのが合理的である。完了条件は、（1）修正済み版へ更新、（2）管理者アカウントと共有設定の点検が完了、（3）外部公開範囲の見直しが済んでいること。KEV 是正期限 2025-12-03 は経過しているため、残存があれば期限超過として扱う。

Gladinet Triofox を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-12480）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/12/03 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。