Klucz machineKey wpisany na stałe w Gladinet CentreStack (CVE-2025-30406) pozwala uruchomić kod na serwerze plików bez logowania. Ataki trwają od marca 2025. Zaktualizuj do 16.4.10315.56368 i sprawdź ślady włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które udostępniają pliki pracownikom lub klientom przez Gladinet CentreStack (albo Triofox tego samego producenta) na własnym serwerze. Werdykt: jeśli CentreStack ma wersję 16.1.10296.56315 lub starszą, zaktualizuj go dziś do 16.4.10315.56368 lub nowszej, a do czasu aktualizacji usuń fabryczny klucz machineKey, bo luka pozwala przejąć serwer bez logowania i jest wykorzystywana od marca 2025 roku.
Amerykańska agencja CISA 8 kwietnia 2025 roku dopisała podatność CVE-2025-30406 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Gladinet CentreStack to oprogramowanie do firmowego udostępniania plików przez przeglądarkę, instalowane na własnym serwerze. Producent zostawił w nim klucz kryptograficzny wpisany na stałe w plik konfiguracyjny portalu. Kto zna ten klucz, może przygotować spreparowane dane, które serwer uzna za prawdziwe i wykona, czyli uruchomić własny kod na serwerze bez żadnego konta.
Opis w NVD mówi wprost o atakach w marcu 2025 roku, jeszcze przed publikacją wpisu. CISA objęła tym samym wpisem także Triofox. Termin naprawy minął 29 kwietnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-30406 |
Data dodania do CISA KEV | 2025-04-08 |
Termin naprawy wg CISA | 2025-04-29 (21 dni od wpisu) |
Produkt | Gladinet CentreStack (portal udostępniania plików); wpis KEV obejmuje także Gladinet Triofox |
Wersje zagrożone | CentreStack do 16.1.10296.56315 włącznie. Triofox: według osobnego komunikatu producenta (nie udało się zweryfikować numeru wersji) |
Wersje bezpieczne | CentreStack 16.4.10315.56368 lub nowszy. Triofox: wersja wskazana w komunikacie producenta dla Triofox |
Typ podatności | Użycie zaszytego klucza kryptograficznego (machineKey) prowadzące do deserializacji i zdalnego wykonania kodu; CWE-321 (KEV, MITRE), CWE-798 (NVD) |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA, niska złożoność ataku). MITRE: 9.0 (CVSS 3.1, KRYTYCZNA, wysoka złożoność, skutki wychodzące poza komponent). ENISA przejęła wartość 9.0. Obie oceny: atak przez sieć, bez logowania i bez udziału użytkownika, pełny wpływ |
Różnica 9.8 i 9.0 dotyczy metodologii, a nie tego, czy trzeba działać: obie oceny są krytyczne i zakładają atak bez hasła.
Wyobraź sobie, że firma stempluje dokumenty własną pieczęcią, a odbiorca po odcisku poznaje, że dokument jest prawdziwy. Mechanizm działa tylko wtedy, gdy pieczęć ma jeden egzemplarz. Producent rozdał jednak identyczną pieczęć wszystkim swoim klientom. Każdy, kto ma taki egzemplarz, może przygotować dokument, który odbiorca uzna za własny, i wydać w nim dowolne polecenia.
Tak działał ten błąd. Portal CentreStack zbudowany na technologii Microsoft ASP.NET przechowuje stan strony w ukrytym polu (ViewState) i podpisuje go tajnym kluczem machineKey. Normalnie każda instalacja ma własny klucz. W CentreStack był wpisany na stałe, więc napastnik znający jego wartość podpisuje własną paczkę danych, serwer uznaje ją za prawidłową, odtwarza z niej obiekty i przy okazji wykonuje polecenia napastnika. Na maszynie, na której leżą pliki firmy i często także kopie zapasowe.
💡 machineKey to tajny klucz, którym aplikacja ASP.NET podpisuje dane przesyłane przez przeglądarkę. ViewState to ukryte pole strony, w którym zapisany jest jej stan. Zaszyty klucz (hard-coded key) to klucz wpisany na stałe przez producenta, taki sam w wielu instalacjach. Deserializacja to odtwarzanie obiektów programu z przesłanych danych. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przeglądarka odsyła stan strony na serwer | Podpis sprawdzany unikalnym kluczem | Napastnik zna klucz i podpisuje własne dane |
Obca osoba bez konta w systemie | Widzi tylko ekran logowania | Może uruchomić kod na serwerze |
Pliki klientów i projekty | Dostępne dla uprawnionych | W zasięgu napastnika |
Kopie zapasowe na tym samym serwerze | Zabezpieczenie danych | Mogą zostać zaszyfrowane razem z plikami |
Jednorazowe sprawdzenie wpisu o podatności | Wystarcza | Wpis zmieniał się wielokrotnie: najpierw bez informacji o atakach |
źródło: Pexels, Anna TarazevichPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Portal CentreStack jest z założenia dostępny z internetu dla pracowników i klientów. Atak nie wymaga konta, wystarczy adres portalu i znajomość klucza. CISA ocenia, że nie da się go w pełni zautomatyzować, ale EPSS wskazuje bardzo wysokie prawdopodobieństwo prób.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Znalezienie portalu | T+0 | Wyszukanie w internecie portali CentreStack i Triofox | Lista celów |
2. Przygotowanie danych | T+minuty | Spreparowanie paczki ViewState podpisanej znanym kluczem machineKey | Dane, które serwer uzna za prawdziwe |
3. Wykonanie kodu | T+sekundy | Wysłanie paczki do portalu bez logowania | Polecenia napastnika działają na serwerze |
4. Utrwalenie | T+godziny | Instalacja narzędzi zdalnego dostępu, założenie kont | Stały dostęp |
5. Kradzież plików | T+godziny do dni | Kopiowanie dokumentów firmy i klientów | Wyciek danych |
6. Szyfrowanie | T+dni | Szyfrowanie plików i kopii zapasowych na serwerze, żądanie okupu | Przestój i szantaż |
Mogę Ci jakoś pomóc?
Serwer udostępniania plików przechowuje często najcenniejsze dokumenty firmy i jej klientów, a portal musi być widoczny z internetu. Luka daje wykonanie kodu bez hasła, ataki trwały przed publikacją wpisu, a EPSS stawia ją w najwyższych 0,2% wszystkich podatności.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane pliki i kopie zapasowe, zatrzymana wymiana dokumentów z klientami | Dni | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek dokumentów firmy i klientów, projektów, umów | Godziny | 50 tys. do 300 tys. PLN (analiza powłamaniowa, powiadomienia) |
Finansowy | Okup, odbudowa serwera, roszczenia klientów | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Ujawnienie poufnych dokumentów klientów, utrata kontraktów | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; możliwe roszczenia kontrahentów | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z CentreStack
w wersji 16.1.10296.56315 lub starszej
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ i prawdopodobieństwo są maksymalne dla portalu widocznego z internetu (wykonanie kodu bez hasła, ataki od marca 2025 roku, EPSS około 94%); nawet przy ocenie MITRE z wysoką złożonością ataku ryzyko pozostaje krytyczne.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w panelu administracyjnym wersję CentreStack (i Triofox, jeśli jest używany) | Dziś | Administrator serwera plików |
2 | 🔴 NATYCHMIAST | Zaktualizować CentreStack do 16.4.10315.56368 lub nowszej; Triofox do wersji z komunikatu producenta | Dziś | Administrator / partner IT |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja musi poczekać: usunąć wpis machineKey z pliku | Dziś | Administrator serwera plików |
4 | 🟠 PILNIE | Sprawdzić serwer pod kątem śladów włamania od marca 2025 roku: nowe konta, nieznane procesy, zadania, pliki w katalogach portalu | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Ograniczyć dostęp do portalu z internetu (VPN, lista adresów, bramka z filtrowaniem ruchu), jeśli nie musi być publiczny | Do 3 dni | Administrator sieci |
6 | 🟠 PILNIE | Przenieść kopie zapasowe poza serwer z portalem | Do 7 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić comiesięczne ponowne sprawdzanie wpisów o podatnościach dla używanych produktów | Do 30 dni | CTO |
Gladinet wydał poprawkę w wersji 16.4.10315.56368. Producent podał obejście: administrator ręcznie usuwa wpis machineKey z pliku portal\web.config, dzięki czemu znajomość fabrycznego klucza przestaje wystarczać. To rozwiązanie tymczasowe, bo nowa wersja zawiera także inne zmiany. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Usunięcie wpisu machineKey z | Wysoka wobec ataku z użyciem fabrycznego klucza | Łatwa, wymaga dostępu do serwera |
Ograniczenie dostępu do portalu z internetu (VPN, lista adresów) | Wysoka wobec ataków z zewnątrz | Średnia, utrudnia pracę klientom |
Reguły WAF filtrujące nietypowe dane ViewState | Średnia | Średnia |
Kopie zapasowe poza serwerem z portalem | Nie chroni przed atakiem, ale ratuje dane po szyfrowaniu | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja CentreStack | 16.1.10296.56315 lub starsza | 16.4.10315.56368 lub nowsza |
Klucz machineKey | Fabryczny, znany napastnikom | Unikalny dla instalacji |
Dostęp do portalu | Otwarty z internetu bez filtrowania | Ograniczony lub filtrowany |
Kopie zapasowe | Na tym samym serwerze | Poza zasięgiem portalu |
Zgodność z wymogami | Prawie 17 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). NVD: wykorzystywana w marcu 2025 roku, przed publikacją wpisu. Holenderski zespół reagowania na incydenty wydał ostrzeżenie 10 kwietnia 2025 roku (wg analizy źródłowej) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD; 9.0 KRYTYCZNA wg MITRE (obie CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Nie w pełni (ocena CISA) |
Historia wpisu | 11 zmian: informacja o atakach dopisana dzień po publikacji, Triofox dodany 22 kwietnia 2025 roku, zakres wersji uzupełniony w czerwcu 2026 roku (wg analizy źródłowej) |
Prognoza EPSS | ok. 93,8%, wyżej niż 99,8% znanych podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-30406
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (MITRE) 9.0/10 ██████████████████░░ KRYTYCZNA
EPSS (prawdopodob.) ~94% ███████████████████░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ataki przed wpisem TAK ████████████████████ marzec 2025
Mogę Ci jakoś pomóc?
2025-03 Pierwsze ataki na CentreStack (wg NVD)
2025-04-03 Publikacja CVE-2025-30406, bez informacji o atakach
2025-04-04 Dopisanie informacji o atakach i ocen CVSS
2025-04-08 CISA dodaje lukę do katalogu KEV
2025-04-10 Analiza NVD, ostrzeżenie holenderskiego zespołu reagowania
2025-04-22 CISA rozszerza wpis o Gladinet Triofox
2025-04-29 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 NVD uzupełnia zakres wersji
... prawie 17 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta dla CentreStack: gladinetsupport.s3.amazonaws.com: security advisory CentreStack (PDF) . Komunikat dla Triofox: gladinetsupport.s3.amazonaws.com: security advisory Triofox (PDF) . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-30406 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT używa CentreStack lub Triofox | CTO | DZISIAJ |
2 | Uzyskać wersję i zatwierdzić natychmiastową aktualizację lub usunięcie machineKey | CTO | DZISIAJ |
3 | Zlecić sprawdzenie serwera pod kątem włamania od marca 2025 roku | CTO | DZISIAJ |
4 | Ustalić, czyje dane (klientów, inwestorów) są przechowywane na serwerze | CFO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową i ewentualne powiadomienia klientów | CFO | DO JUTRA |
6 | Zatwierdzić przeniesienie kopii zapasowych poza serwer z portalem | CTO | DO JUTRA |
7 | Sprawdzić umowy z klientami pod kątem obowiązku informowania o incydentach | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Gladinet CentreStack lub Triofox? | TAK / NIE | 🔴 |
2 | Jaka wersja CentreStack działa na serwerze? | [wersja] | 🔴 |
3 | Czy wpis machineKey w | TAK / NIE | 🔴 |
4 | Czy sprawdzono serwer pod kątem śladów włamania od marca 2025 roku? | TAK / NIE | 🔴 |
5 | Czy portal jest dostępny z internetu bez żadnego filtrowania? | TAK / NIE | 🟠 |
6 | Gdzie są przechowywane kopie zapasowe plików z portalu? | [lokalizacja] | 🟠 |
7 | Kiedy ostatnio ponownie sprawdzaliśmy wpisy o podatnościach tego produktu? | [data] | 🟡 |
CVE-2025-30406 pozwala przejąć serwer Gladinet CentreStack bez logowania dzięki kluczowi wpisanemu na stałe przez producenta, a ataki trwały już w marcu 2025 roku. Aktualizacja do 16.4.10315.56368 lub, na czas przejściowy, usunięcie fabrycznego machineKey oraz sprawdzenie serwera pod kątem śladów włamania to zadania na dziś, łącznie z weryfikacją instalacji Triofox.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.