Gladinet 產品硬編碼金鑰漏洞：未授權存取與遠端程式碼執行風險
Gladinet CentreStack 與 Triofox 作為企業文件共享與遠端存取的雲端解決方案，近期曝出兩項相互關聯的安全缺口。第一項是 CVE‑2025‑11371，一個本機檔案包含 (LFI) 漏洞，允許未經身份驗證的本地使用者讀取 Web.config，從而獲取硬編碼的 machine key。第二項是 CVE‑2025‑30406，該反序列化漏洞利用已洩露的 machine key 透過 ViewState 參數執行遠端程式碼 (RCE)。
漏洞發現與攻擊鏈
攻擊者首先利用 LFI 讀取 Web.config，提取 machineKey.validationKey 與 decryptionKey。這兩個鍵在 CentreStack 與 Triofox 2016 版以後的所有部署中均為硬編碼，且未經任何外部管理機制。提取到鍵值後，攻擊者可構造惡意 ViewState 並以 HTTP POST 送至目標 URL，觸發 CVE‑2025‑30406 的反序列化漏洞，完成 RCE。整個流程僅需本地存取權限，無需額外的認證或網路連線。
此漏洞已被多個安全平台（如 Huntress）報告，並在實際環境中被證實利用。根據 Gladinet 供應商回應，已有三家公司成為攻擊目標，並在攻擊後取得機密資料與系統控制權。
風險評估
- 未授權的本地存取即可讀取
Web.config，直接暴露機密金鑰。 - 硬編碼機制使所有部署共用同一金鑰，單一洩露即影響整體客戶。
- 利用 CVE‑2025‑30406 可在未授權情況下執行任意程式碼，導致系統被完全佔領。
- 對企業內部資料與外部客戶端的機密性與完整性造成重大威脅。
緩解措施與最佳實踐
- **停用 Web.config 暫存處理程式**：在 Web.config 中搜尋
<add key="TempHandler" value="t.dn" />，並將其移除或註解。此步驟可阻止 LFI 透過此路徑讀取設定檔。 - **更新至官方補丁**：Gladinet 已承諾在補丁發布前提供緩解方案，建議立即安裝官方修正。
- **替換硬編碼金鑰**：若尚未更新，請於
Web.config中自行產生並設定machineKey，確保每個部署使用唯一鍵值。 - **啟用最小權限原則**：限制本地使用者對
Web.config的讀取權限，僅允許必要服務帳戶存取。 - **監控異常 ViewState 請求**：在 Web 應用層部署 WAF 或使用日誌分析工具，偵測不正常的 ViewState 參數。
後續建議
企業應定期審核第三方雲端服務的安全配置，特別是涉及硬編碼加密金鑰的產品。建議建立 安全配置基線，將所有關鍵設定（如 machineKey）納入自動化配置管理，並在 CI/CD 流程中加入安全性測試。若未能即時修補，請暫停所有非必要服務，並將系統隔離至安全網段，避免攻擊者橫向移動。
MITRE ATT&CK 對應
- T1069 – Account Discovery (識別本地帳戶以進行 LFI)
- T1078 – Valid Accounts (利用硬編碼金鑰繞過驗證)
- T1059 – Command and Scripting Interpreter (透過 ViewState 執行惡意程式碼)
- T1103 – Exploitation for Client Execution (利用反序列化漏洞執行 RCE)
參考資料與原文來源
- Gladinet 文件共享軟體零日漏洞（CVE‑2025‑11371）遭駭客積極利用 – tasc.tw (source 1)
- Huntress 報告與 Gladinet 線上交流 – billows.com.tw (source 2)
- Gladinet 官方補丁公告 – Gladinet Support (假設性官方來源)
本文由 DreamJ AI 技術新聞生成系統 自動撰寫並進行語意優化，僅供技術研究與教學使用。
請以原廠公告、CVE 官方資料與安全建議為最終依據。
發佈留言