Trusted DesignCVE-2025-30406 の詳細
CVEの情報
説明:
Gladinet CentreStack through 16.1.10296.56315 (fixed in 16.4.10315.56368) has a deserialization vulnerability due to the CentreStack portal's hardcoded machineKey use, as exploited in the wild in March 2025. This enables threat actors (who know the machineKey) to serialize a payload for server-side deserialization to achieve remote code execution. NOTE: a CentreStack admin can manually delete the machineKey defined in portal\web.config.
CVE更新日: 2025-04-03 20:15:24.987000
CVSSバージョン: 3.1
CVSSスコア: 9.0
KEVの情報
KEV更新日: 2025-04-08
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.943430000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2025-30406は、Gladinet CentreStackおよびTriofox製品に存在する、活発に悪用されている深刻な脆弱性です。
1. 脆弱性の概要
CVE-2025-30406は、Gladinet CentreStackおよびTriofoxに存在するデシリアライゼーションの脆弱性です。この脆弱性の根本原因は、IISの
web.configファイル内で、ASP.NET ViewStateデータを保護するために使用されるmachineKey値がハードコードされているか、適切に保護されていないことにあります。攻撃者はこれらのキーを知ることで、整合性チェックをバイパスする悪意のあるViewStateペイロードを作成できます。これにより、デシリアライゼーション攻撃が可能になり、結果としてサーバー上でリモートコード実行（RCE）が発生する可能性があります。
この脆弱性は2025年3月にゼロデイとして悪用が確認されており、2025年4月8日にはCISAが既知の悪用されている脆弱性（Known Exploited Vulnerabilities）カタログに追加しました。
1.1 影響
この脆弱性が悪用されると、サーバー上でリモートコード実行（RCE）が発生します。 攻撃者はCentreStackインスタンスとそこに含まれる顧客データに対する完全な制御を獲得する可能性があります。 具体的には、
IISAPPPOOL\portaluserとしてのリモートコード実行につながり、容易にNT AUTHORITY\SYSTEMへの権限昇格が可能となり、ターゲットサーバーが完全に侵害される恐れがあります。 少なくとも7つの組織がこの脆弱性によって侵害されたと報告されています。1.2 深刻度
CVE-2025-30406は深刻度「Critical（緊急）」と評価されており、CVSSスコアは9.0です。 (NVDではCVSSv3スコア9.8とされています)。
2. 対象となる環境
この脆弱性の影響を受けるのは、Gladinet CentreStackおよびTriofox製品です。
2.1 影響を受けるOSバージョン
特定のOSバージョンは明記されていませんが、IIS上で動作するGladinet CentreStackおよびTriofox製品に影響があります。
2.2 影響を受ける設定
machineKey値を使用するすべての設定が影響を受けます。3. 影響を受けた時の兆候
影響を受けた際の兆候としては、以下が挙げられます。 * OAST（Out-Of-Band Application Security Testing）ドメインへのアクセスを試みる
Invoke-WebRequest (IWR)を使用した不審なPowerShellコマンド。 * Gladinet CentreStackが親プロセスとして使用する「Portal」アプリケーションプールからのシェルプロセス実行。 * 通常とは異なる子プロセスからの不審な外部接続。4. 推奨対策
4.1 本対策
machineKeyが生成されます。4.2 暫定回避策（緩和策）
web.configファイルにあるmachineKeyを手動でローテーション、削除、または更新してください。C:\Program Files (x86)\Gladinet Cloud Enterprise\root\web.configC:\Program Files (x86)\Gladinet Cloud Enterprise\portal\web.config参照したサイト