最近の脆弱性 › CVE-2025-14611

Gladinet CentreStack and Triofox の脆弱性（CVE-2025-14611）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2025-14611
製品	Gladinet CentreStack and Triofox
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-12-15
米国政府機関の対応期限	2026-01-05
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-798

何が起きた

Gladinet のファイル共有製品 CentreStack と Triofox で、AES という暗号に使う値が製品に固定で書き込まれている（ハードコード）という弱点が見つかりました。インターネットに公開された窓口の安全性が下がり、細工したリクエストを送られると、ログインなしでサーバー上のファイルを読み込まれる（ローカルファイルインクルード）おそれがあります。ネットワーク経由で、ログインしていない攻撃者でも悪用でき、実際に悪用が確認されています。以前に見つかった脆弱性と組み合わせて悪用され、システム全体が乗っ取られるおそれもあると説明されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Gladinet CentreStack と Triofox を使っている組織が対象です。CVE の記録（Huntress が登録）では、16.12.10420.56791 より前のバージョンが影響を受けるとされています。

何をすればいい

CVE の記録では、16.12.10420.56791 以降が修正版とされています。Gladinet の案内を確認し、その版以降に更新してください。回避策などメーカーからの詳しい案内は、このサイトでは確認できていません。

やることチェックリスト

CentreStackかTriofoxの版を確かめる
16.12.10420.56791以降に更新する
Gladinetの最新の案内で修正を確かめる

用語メモ

ハードコード: パスワードや暗号の鍵などを、設定で変えられないようにプログラムに直接書き込んでしまうことです。同じ製品を使う全員で同じ値になるため危険です。
AES: 広く使われている暗号の方式の名前です。鍵が知られると、暗号の意味がなくなります。
ローカルファイルインクルード: 攻撃者が指定したサーバー上のファイルを、プログラムに読み込ませてしまう弱点です。

元データ（英語・CISA KEV より）

Gladinet CentreStack and Triofox Hard Coded Cryptographic Vulnerability

概要

Gladinet CentreStack and TrioFox contain a hardcoded cryptographic keys vulnerability for their implementation of the AES cryptoscheme. This vulnerability degrades security for public exposed endpoints that may make use of it and may offer arbitrary local file inclusion when provided a specially crafted request without authentication.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.