INGENIERÍA TELEMÁTICA SAS informa sobre una vulnerabilidad de alta severidad que afecta a las soluciones CentreStack y Triofox de Gladinet. Detectada y reportada por Huntress, la vulnerabilidad (CVE-2025-14611) reside en el uso de claves criptográficas codificadas en el código fuente (hard-coded) de los productos, lo que permite a atacantes descifrar o falsificar tickets de acceso. Esto, a su vez, les permite acceder a archivos de configuración sensibles como el archivo ‘web.config’, exponiendo el sistema a deserialización de ViewState y ejecución remota de código (RCE).
El problema se centra en la función ‘GenerateSecKey()’ dentro de ‘GladCtrl64.dll’, responsable de generar las claves criptográficas para cifrar los tickets de acceso. Dado que esta función devuelve las mismas cadenas de texto, las claves nunca cambian y pueden ser utilizadas para comprometer la seguridad del sistema.
Los ataques observados utilizan URLs especialmente diseñadas dirigidas al endpoint ‘/storage/filesvr.dn’. Estos ataques dejan los campos de ‘Username’ y ‘Password’ vacíos, lo que provoca que la aplicación utilice la identidad del ‘IIS Application Pool Identity’. Además, el campo de marca de tiempo en el ticket de acceso se establece en ‘9999’, creando un ticket que nunca expira.
Se ha confirmado que nueve organizaciones han sido afectadas hasta el 10 de diciembre de 2025, pertenecientes a sectores como la salud y la tecnología. Los ataques se originan desde la dirección IP 147.124.216[.]205 y buscan encadenar esta nueva vulnerabilidad con una previamente divulgada (CVE-2025-11371) para acceder a la ‘machine key’ del archivo ‘web.config’.
INGENIERÍA TELEMÁTICA SAS recomienda encarecidamente a las organizaciones que utilizan CentreStack y Triofox actualizar a la última versión (16.12.10420.56791) lo antes posible. Adicionalmente, se recomienda escanear los registros en busca de la cadena ‘vghpI7EToZUDIZDdprSubL3mTZ2’, que representa la ruta del archivo ‘web.config’ cifrada.
En caso de detectar indicadores de compromiso, es crucial rotar la ‘machine key’ siguiendo las instrucciones proporcionadas por Gladinet:
* En el servidor Centrestack, dirigirse a la carpeta de instalación: C:\Program Files (x86)\Gladinet Cloud Enterprise\root
* Realizar una copia de seguridad del archivo ‘web.config’.
* Abrir el ‘IIS Manager’.
* Navegar a ‘Sites’ -> ‘Default Web Site’.
* En la sección ‘ASP.NET’, hacer doble clic en ‘Machine Key’.
* Hacer clic en ‘Generate Keys’ en el panel derecho.
* Hacer clic en ‘Apply’ para guardar los cambios en ‘root\web.config’.
* Reiniciar IIS después de repetir los mismos pasos en todos los nodos de trabajo.
Esta es la tercera vulnerabilidad en CentreStack y Triofox que se explota activamente en el último año, lo que sugiere un profundo conocimiento de las vulnerabilidades de Gladinet por parte de los atacantes.
Fuente original: Ver aquí