Suivi KEV › Gladinet

CVE-2025-30406 Gladinet CentreStack et Triofox : utilisation d'une clé cryptographique codée en dur

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 8 avril 2025.

  • Produit : Gladinet CentreStack
  • Ajoutée au catalogue : 8 avril 2025
  • Échéance CISA : 29 avril 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-321
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 94 %

Gladinet CentreStack et Triofox contient une vulnérabilité d'utilisation d'une clé cryptographique codée en dur dans la manière dont l'application gère les clés utilisées pour la vérification de l'intégrité de ViewState. Une exploitation réussie permet à un attaquant de falsifier des charges utiles ViewState pour la désérialisation côté serveur, permettant une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · gladinetsupport.s3.us-east-1.amazonaws.com · gladinetsupport.s3.us-east-1.amazonaws.com

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 94,3 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées

Versions concernées

  • centrestack : versions < 16.4.10315.56368

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Clé cryptographique codée en dur (CWE-321) : Le produit utilise une clé cryptographique codée en dur et immuable.
  • Identifiants codés en dur (CWE-798) : Le produit contient des identifiants codés en dur, tels qu'un mot de passe ou une clé cryptographique.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Gladinet CentreStack and Triofox Use of Hard-coded Cryptographic Key Vulnerability

Gladinet CentreStack and Triofox contains a use of hard-coded cryptographic key vulnerability in the way that the application manages keys used for ViewState integrity verification. Successful exploitation allows an attacker to forge ViewState payloads for server-side deserialization, allowing for remote code execution.

Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

← Toutes les failles Gladinet · Suivi KEV