Gladinet CentreStack / Triofox の暗号鍵ハードコードで未認証ファイル読み取り

Critical（CVSS 9.8）に分類されるGladinet CentreStack / Triofoxの脆弱性です。Gladinet CentreStack と Triofox は 16.12.10420.56791 より前のバージョンで、AES 暗号処理の実装にハードコードされた値を使っていた。鍵が製品共通で固定されているため、インターネットに公開されたエンドポイントの保護強度が実質的に失われ、特別に細工したリクエストを送ることで認証なしに任意のローカルファイルを読み出せる場合がある。NVD の記述は、この欠陥が将来の悪用の足がかりになり、過去の脆弱性と組み合わせるとシステム全体の掌握につながると述べている。CVSS は評価元で大きく分かれている。NVD（Primary）は CVSS 3.1 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA は CVSS 4.0 で 7.1 High（AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:H/E:A）としている。CNA は攻撃条件が複雑（AC:H）で脆弱システム側の機密性影響は限定的（VC:L）と見る一方、後続システムへの影響（SC:H/SI:H/SA:H）を高く置いており、NVD は単一システムへの全面的影響として評価している。社内報告に数値を載せる場合は、どちらの評価元の値かを併記すべき典型例である。NVD の vulnStatus は Analyzed。CISA KEV には 2025-12-15 に収載され、是正期限は 2026-01-05。ランサムウェア利用は Unknown（不明）。CNA の CVSS 4.0 ベクタには E:A（攻撃が実際に行われている）が付いている。

判定は版の確認から始める。CentreStack / Triofox のいずれも 16.12.10420.56791 より前なら該当で、管理コンソールのバージョン表示で分かる。ハードコードされた鍵の問題は、更新しても「既に鍵が知られている前提」が消えないという性質を持つ点が他の CVE と違う。したがって作業は2段構えになる。第一に、ベンダーのリリース履歴（CentreStack の gce_latest_release、Triofox の releases_history）で 16.12.10420.56791 以降と確認できる版へ更新する。第二に、更新後にベンダーが公開しているクラスタのハードニング手順（CentreStack のサポート記事 Hardening the CentreStack Cluster）に従い、固定値から生成された鍵に依存した設定を作り直す。更新までの緩和は、公開エンドポイントをインターネットから切り離すことである。この欠陥は「公開されたエンドポイントの保護強度が下がる」ものなので、公開をやめるだけで攻撃面はほぼ消える。実際の悪用は Huntress が報告しており、CNA の CVSS 4.0 ベクタにも E:A が付いている。したがって外部公開していた期間があるなら侵害前提の点検が必要で、具体的には読み取られ得た設定ファイルに含まれる接続情報・API キー・サービスアカウントの資格情報を再発行し、Web アクセスログで不審なリクエストを遡り、管理者アカウントの追加や共有設定の変更が無いかを確認する。同一製品の CVE-2025-11371 と CVE-2025-12480 も KEV 収載済みで、これらを連鎖させる攻撃が観測されているため、3件を同時に解消する版へ上げるのが正しい終わり方である。完了条件は、（1）16.12.10420.56791 以降へ更新、（2）ハードニング手順に沿って鍵・設定を作り直した、（3）公開実績があるなら資格情報の再発行と痕跡確認が済んでいること。KEV 是正期限 2026-01-05 は経過している。

Gladinet CentreStack / Triofox を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-14611）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/01/05 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。