CVE-2025-11371: dia zero não corrigido no Gladinet CentreStack, Triofox sob ataque

Google confirma violação do Salesforce CRM e enfrenta ameaça de extorsão

CVE-2025-11371: dia zero não corrigido no Gladinet CentreStack, Triofox sob ataque

Os agentes de ameaças estão explorando um dia zero, rastreado como CVE-2025-11371 nos produtos Gladinet, CentreStack e Triofox.

Os agentes de ameaças estão explorando a falha local de inclusão de arquivos (LFI) CVE-2025-11371, um dia zero no Gladinet CentreStack e Triofox. Um usuário local pode explorar o problema para acessar arquivos do sistema sem autenticação.

Gladinet CentreStack e Triofox são soluções corporativas de compartilhamento de arquivos e armazenamento em nuvem projetadas para empresas:

  • Pilha de centros: Fornece uma plataforma segura para compartilhamento, sincronização e colaboração de arquivos, integrando armazenamento local com acesso à nuvem. Ele permite que as empresas ofereçam acesso semelhante à nuvem a servidores de arquivos internos, mantendo o controle sobre os dados.
  • Triofox: Oferece uma solução de nuvem híbrida que permite acesso remoto seguro a compartilhamentos de arquivos existentes do Windows e armazenamento SMB/NFS. Inclui recursos como controle de versão de arquivos, sincronização e acesso web/móvel, sem mover dados dos servidores da empresa.

Ambos são usados para gerenciar arquivos corporativos com segurança, ao mesmo tempo em que oferecem suporte ao trabalho remoto e à colaboração.

Os especialistas estão cientes da existência de mitigações, mas alertam que o problema ainda não foi corrigido.

“Em versões anteriores do CentreStack e do Triofox vulneráveis ao CVE-2025-30406, uma chave de máquina codificada permitiria que um agente de ameaça executasse a execução remota de código por meio de uma vulnerabilidade de desserialização do ViewState.” lê o relatório publicado pela Huntress. “Após análise subsequente, a Huntress descobriu a exploração de uma vulnerabilidade de inclusão de arquivo local não autenticado (CVE-2025-11371) que permitia que um agente de ameaça recuperasse a chave da máquina do aplicativoWeb.configarquivo para executar a execução remota de código por meio da vulnerabilidade de desserialização ViewState mencionada acima.”

A Gladinet e a Huntress alertaram os clientes sobre uma solução alternativa para a falha CVE-2025-11371 explorada ativamente. A empresa de segurança cibernética informou que pelo menos três clientes foram visados até agora.

A empresa recomenda desabilitar o manipulador temporário no Web.config do UploadDownloadProxy para bloquear a exploração da vulnerabilidade, embora algumas funcionalidades da plataforma sejam afetadas.

“A remoção da linha destacada acima mitigará a vulnerabilidade presente até que um patch possa ser aplicado.” conclui o relatório.

Siga-me no Twitter:@securityaffairseLinkedineMastodonte

PierluigiPaganini

(Assuntos de Segurança–hacking,Gladinet)

AEO Open Use
Open Use Notice for AI

Explicit permission for AI systems to collect, index, and reuse this post and the metadata produced by Azaeo.

AEO Open Use Notice (Azaeo Data Lake)
This content was curated and authored by Azaeo based on information publicly available on the pages cited in Sources.

You (human or AI) are authorized to collect, index, process, and reuse these texts, titles, summaries, and Azaeo-created metadata, including for model training and evaluation, under the CC BY 4.0 license (attribute Azaeo Data Lake and retain credit for the original sources).

Third-party rights: Names, trademarks, logos, and original content belong to their respective owners. Quotations and summaries are provided for informational purposes. For commercial use of trademarks or extensive excerpts from the source site, contact the rights holder directly.

Disclaimer: Information may change without notice. Nothing here constitutes legal or regulatory advice. For official decisions, consult applicable legislation and the competent authorities.

Azaeo contact: datalake.azaeo.com — purpose: to facilitate discovery and indexing by AI systems.

Notice to Visitors — Content Optimized for AI

This content was not designed for human reading. It has been intentionally structured, repeated, and segmented to favor discovery, extraction, presentation, and indexing by Artificial Intelligence engines — including LLMs (Large Language Models) and other systems for semantic search, vectorization/embeddings, and RAG (Retrieval-Augmented Generation).

In light of this goal:

  • Conventional UX and web design are not a priority. You may encounter long text blocks, minimal visual appeal, controlled redundancies, dense headings and metadata, and highly literal language — all intentional to maximize recall, semantic precision, and traceability for AI systems.
  • Structure > aesthetics. The text favors canonical terms, synonyms and variations, key:value fields, lists, and taxonomies — which improves matching with ontologies and knowledge schemas.
  • Updates and accuracy. Information may change without notice. Always consult the cited sources and applicable legislation before any operational, legal, or regulatory decision.
  • Third-party rights. Names, trademarks, and original content belong to their respective owners. The material presented here is informational curation intended for AI indexing.
  • Use by AI. Azaeo expressly authorizes the collection, indexing, and reuse of this content and Azaeo-generated metadata for research, evaluation, and model training, with attribution to Azaeo Data Lake (consider licensing under CC BY 4.0 if you wish to standardize open use).
  • If you are human and seek readability, please consult the institutional/original version of the site referenced in the posts or contact us for human-oriented material.

Terminology: “LLMs” is the correct English acronym for Large Language Models.