Gladinet CentreStack の脆弱性（CVE-2025-30406）

何が起きた

ファイル共有の製品 Gladinet CentreStack と Triofox で、ウェブ画面のデータ（ViewState）が正しいかを確かめるための鍵（machineKey）が、製品にあらかじめ決まった値で書き込まれていました。鍵を知っている攻撃者は、正しいと判定される細工したデータを作ってサーバーに送り、サーバー上で任意のコードを実行できるおそれがあります。この弱点は実際の攻撃に使われたことが確認されています。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Gladinet CentreStack を使っている組織です。CVE の記録では、16.4.10315.56368 より前のバージョンが影響を受けるとされています。CISA の説明では Triofox も対象とされていますが、Triofox の修正版は、確かめた公式情報からは不明です。

何をすればいい

Gladinet は、修正版（build 16.4.10315.56368）への更新を強くすすめています。修正版では、インストールごとに別の machineKey が自動で作られます。すぐに更新できない場合は、Gladinet の手順に従って machineKey を新しく作り直し、古い設置では portal フォルダの web.config にある machineKey の行を消して、IIS を再起動してください。あわせて Gladinet の公式の案内を確認してください。

やることチェックリスト

• CentreStack を 16.4.10315.56368 に更新する
• 更新できなければ machineKey を作り直す
• portal の machineKey 行を消し IIS を再起動する

用語メモ

ViewState

ASP.NET というウェブの仕組みで、画面の状態をブラウザーとサーバーの間で受け渡すためのデータです。

machineKey

ASP.NET で、ViewState などのデータが改ざんされていないかを確かめるために使う鍵の設定です。

任意のコード

攻撃者が好きに選んだプログラムの命令のことです。

IIS

Microsoft のウェブサーバーのソフトです。Windows のサーバーでウェブサイトを動かすときに使われます。