Kerngegevens
- Leverancier
- Gladinet
- Soort software
- –
- Getroffen versies
- Gladinet CentreStack tot 16.12.10420.56791
- Gladinet Triofox tot 16.12.10420.56791
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Gladinet CentreStack 16.12.10420.56791
- Gladinet Triofox 16.12.10420.56791
- CVE gepubliceerd
- 12 december 2025
- Op de KEV-lijst sinds
- 15 december 2025
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Gladinet CentreStack en Triofox zijn voor de AES-versleuteling vaste, in de software ingebouwde waarden gebruikt. Daardoor is de beveiliging van openbaar bereikbare onderdelen die deze versleuteling gebruiken minder sterk. Een aanvaller kan met een speciaal opgesteld verzoek, zonder in te loggen, mogelijk lokale bestanden op de server opvragen. Dit lek wordt actief misbruikt en er is publieke informatie over de aanval.
Wie loopt risico?
Je loopt risico als je CentreStack of Triofox gebruikt in een versie ouder dan 16.12.10420.56791 en de server via internet bereikbaar is. Voor misbruik is geen account nodig. Het lek kan samen met eerdere kwetsbaarheden gebruikt worden om een systeem volledig over te nemen.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van CentreStack of Triofox je gebruikt en of de server vanaf internet bereikbaar is.
Werk bij
Installeer versie 16.12.10420.56791 of nieuwer. Daarin is het lek opgelost.
Beperk blootstelling
Kun je niet direct bijwerken, beperk dan de toegang tot de server van buitenaf, bijvoorbeeld met een firewall of VPN, en volg de instructies van Gladinet.
Controleer op misbruik
Zoek in logbestanden naar verdachte verzoeken zonder inlog en naar ongebruikelijke toegang tot bestanden. Raadpleeg ook de blog van Huntress over het actieve misbruik.
Stop met gebruik als er geen oplossing is
CISA adviseert de maatregelen van de leverancier toe te passen, of het product niet meer te gebruiken als die maatregelen niet beschikbaar zijn.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Gladinet CentreStack en Triofox gebruiken in versies voor 16.12.10420.56791 hardgecodeerde waarden in hun implementatie van het AES-cryptosysteem (CWE-798). Omdat deze waarden vastliggen, zijn ze niet geheim en kan een aanvaller ze gebruiken. Dit verzwakt de beveiliging van openbaar bereikbare endpoints die deze versleuteling gebruiken. Met een speciaal opgesteld verzoek is zonder authenticatie mogelijk lokale bestandsinsluiting (local file inclusion) te bereiken. De aanval verloopt via het netwerk en de complexiteit is hoog. Het lek kan worden gecombineerd met eerdere kwetsbaarheden om een volledige systeemcompromittering te bereiken. De CVSS-score is 7,1 (CVSS 4.0).
CVSS-vector (versie 4.0, basisscore 7,1, bron: CNA)
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:H/SI:H/SA:H/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-798 · Gebruik van hardgecodeerde inloggegevens
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 53,3%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 15 december 2025
- Deadline van CISA
- 5 januari 2026
- Gebruikt door ransomwaregroepen
- Niet bekend