Trusted Design

CVE-2025-12480 の詳細

CVEの情報

説明:
Triofox versions prior to 16.7.10368.56560, are vulnerable to an Improper Access Control flaw that allows access to initial setup pages even after setup is complete.

CVE更新日: 2025-11-10 15:15:36.527000

CVSSバージョン: 3.1

CVSSスコア: 9.1

KEVの情報

KEV更新日: 2025-11-12

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.957480000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-12480に関する脆弱性の調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2025-12480は、Gladinet社のファイル共有およびリモートアクセスプラットフォームであるTriofox（およびCentreStack）に存在する、深刻な不適切なアクセス制御（Improper Access Control）の脆弱性です。この脆弱性は、認証されていない攻撃者がHTTP Hostヘッダーを「localhost」に偽装することで、本来初期設定時にのみアクセス可能なセットアップページや設定ページにアクセスすることを可能にします。これにより、認証プロセスがバイパスされます。

1.1 影響

本脆弱性が悪用されると、攻撃者は以下のいずれか、または複数の影響を引き起こす可能性があります。 * アプリケーションの再設定。 * システムへの管理者権限の取得。 * 機密性および完全性の完全な侵害。 * 設定の変更。 * 管理者アカウントの作成。 * ファイルストレージを攻撃者が制御するインフラにリダイレクト。 * 組み込みのアンチウイルス機能を悪用したSYSTEM権限でのリモートコード実行（RCE）。 * リモートアクセスツール（Zoho Assist、AnyDesk、RDPトンネリングのためのPlinkなど）の展開。 * データ窃取や顧客ネットワークへの横方向の移動の可能性。 * サーバーのローカルストレージの再設定、任意のファイルの読み取り、.NET ViewStateペイロードの署名に使用される暗号鍵の漏洩、および.NET逆シリアル化を介した任意のコード実行。

1.2 深刻度

  • CVSSスコア: 9.1 (Critical)。一部の推定では9.8。
  • 分類: 危険度「Critical（緊急）」と評価されています。
  • 本脆弱性は、少なくとも2025年8月24日以降、脅威クラスターUNC6485によって活発に悪用されているゼロデイ脆弱性として確認されています。
  • 2025年11月12日にCISAの既知の悪用された脆弱性（KEV）カタログに追加されました。
  • エクスプロイトの容易さ: 悪用可能なエクスプロイトが利用可能です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性はGladinet Triofox/CentreStackアプリケーション自体の脆弱性であり、特定のOSバージョンに依存するものではありません。攻撃が成功した場合、Windows環境でSYSTEM権限でのコード実行が可能です。

2.2 影響を受ける設定

  • Gladinet Triofoxのバージョン 16.7.10368.56560より前のバージョンが影響を受けます。
  • Gladinet CentreStackのバージョンも、16.7.10368.56560より前のバージョンが影響を受けます。
  • 特に、web.configファイルでオプションのTrustedHostIpパラメータが設定されていない場合、「localhost」チェックが唯一の認証ゲートキーパーとなり、デフォルトインストールが認証されていないアクセスにさらされる可能性があります。

3. 影響を受けた時の兆候

  • 外部からのHTTPリクエストにおいて、HTTP Referer URLに「localhost」を含む不審なHTTP GETリクエスト。
  • Zoho UEMS、Zoho Assist、AnyDesk、RDPトンネリングのためのPLINKなど、通常とは異なるリモートアクセスツールの展開。
  • 一時ディレクトリ（例: C:\WINDOWS\Temp）での不審なファイルダウンロードなどのファイル活動。
  • 「Cluster Admin」などの不正な管理者アカウントの作成。
  • Triofoxサービスからの異常なプロセス実行。
  • 異常なアウトバウンドSSH/ポート433またはRDPトンネリングの試み。

4. 推奨対策

4.1 本対策

  • Gladinet Triofoxをバージョン16.7.10368.56560以降にアップグレードしてください。このバージョンで本脆弱性は修正されています。
  • CentreStackをご利用の場合は、バージョン16.7.10368.56560以降にアップグレードしてください。

4.2 暫定回避策（緩和策）

  • 未使用のネイティブ管理者アカウントを監査し、無効化する。
  • 管理インターフェースへのアクセスをIPアドレスまたはネットワークセグメントで制限する。
  • アンチウイルス機能が任意のパス設定や信頼されていないバイナリの実行を許可しないことを確認する。
  • 不審なHTTPログ（特に外部からのHostヘッダーに「localhost」を含むもの）を監視する。
  • 不正な管理者アカウントの作成を監視する。
  • 悪意のあるファイルアップロード、リバーストンネリングツール、またはTriofoxサービスからの異常なプロセス実行を監視する。
  • 侵害が疑われる場合:
    • 影響を受けるホストを直ちに隔離する。
    • HTTPログを調査し、不審なHostヘッダー値（例: 「localhost」）を確認する。
    • 不正な管理者アカウントの作成を調査する。
    • 悪意のあるファイルアップロード、リバーストンネリングツール、またはTriofoxサービスからの異常なプロセス実行の証拠を探す。
    • パッチが適用されたソフトウェアバージョンでホストを再イメージングまたは復元する。
    • 影響を受けた認証情報をリセットする。
    • Triofoxインスタンスが使用するアンチウイルスエンジンが、不正なスクリプトの実行に設定されていないことを確認する。

5. 他に解説すべき観点

  • 根本原因: 本脆弱性の根本原因は、Triofoxのセットアップエンドポイント処理における不適切なアクセス制御の検証にあります。アプリケーションは、初期セットアップが完了しているかどうかを適切に検証せず、攻撃者が初期展開フェーズでのみアクセス可能であるはずのセットアップルーチンにアクセスすることを許してしまいます。これは、HTTP Hostヘッダーを「localhost」に設定することでバイパス可能な、リクエストが「localhost」から来ているかをチェックする際の不完全な検証に起因します。
  • 脅威アクター: 脅威クラスターUNC6485によって活発に悪用されています。
  • 悪用チェーン: 攻撃者はHostヘッダーのバイパスを利用してセットアップページにアクセスし、管理者アカウントを作成します。その後、SYSTEM権限で実行されるアンチウイルス機能を悪用して悪意のあるスクリプトを実行し、リモートコード実行（RCE）を達成します。

参照サイト

NVDサイト

NVDでCVEの詳細を見る

戻る