はじめに
サイバーセキュリティ・インフラセキュリティ庁（CISA）は、クラウドファイル共有プラットフォームであるGladinet CentreStackおよびTriofoxに影響を与える重大な脆弱性（CVE-2025-11371）が活発に悪用されているとして、警告を発令しました。この脆弱性は、機密性の高いシステムファイルが不正な外部関係者に公開されるリスクをもたらし、これらのプラットフォームを利用する組織にとって深刻な脅威となっています。
脆弱性の概要：CVE-2025-11371
CVE-2025-11371は、外部関係者がファイルやディレクトリにアクセスできる脆弱性であり、CWE-552に分類されます。この欠陥により、攻撃者は保護されるべき機密ファイルやディレクトリにアクセスし、意図しないシステム情報の開示につながる可能性があります。この脆弱性は、Gladinetプラットフォーム内のアクセス制御の不備に起因しており、影響を受けるシステムに保存されている機密データが潜在的に公開される恐れがあります。
特に、CentreStackとTriofoxは共同ファイル共有とリモートアクセスを目的として設計されているため、この脆弱性は、外部の脅威アクターが適切な認証や認可なしにファイルを不正に取得することを可能にする可能性があります。
CISAによる警告と対応期限
CISAは、2025年11月4日にCVE-2025-11371を既知の悪用されている脆弱性（Known Exploited Vulnerabilities）カタログに追加しました。連邦政府機関および重要インフラ組織に対する対応期限は2025年11月25日とされており、この脆弱性への緊急の対処が求められています。この脆弱性がすでに活発に悪用されているという事実は、脅威アクターが影響を受けるGladinetプラットフォームを通じてセキュリティ制御を回避し、ファイルにアクセスする実用的な手法を開発していることを示しています。
推奨される緩和策
CISAは、影響を受ける組織に対し、以下の3つの異なる緩和策を提示しています。
- パッチの適用：Gladinetが提供するすべての利用可能なパッチとセキュリティアップデートを、ベンダーの指示に従って適用すること。これにより、不正アクセス経路が閉じられ、適切なアクセス制御が回復されます。
- BOD 22-01ガイドラインの遵守：連邦政府機関および機密データを扱う組織は、クラウドサービスセキュリティのために特別に設計されたBOD 22-01ガイドラインに従うこと。これには、クラウドインフラの監視、多要素認証の実施、ゼロトラストセキュリティ原則の導入が含まれます。
- 製品の使用中止：緩和策が利用できない、または不十分であることが判明した場合、組織は影響を受けるGladinet CentreStackおよびTriofox製品の使用を完全に中止することを検討すべきです。これは運用に大きな影響を与える可能性がありますが、重要な環境での悪用リスクを排除します。
組織は、自社のインフラ内にあるこれらのプラットフォームのすべてのインスタンスを直ちに棚卸しし、Gladinetの公式ウェブサイトやセキュリティアドバイザリでCVE-2025-11371に対処する利用可能なパッチや回避策を確認する必要があります。また、以前の侵害を示す可能性のある不正なファイルアクセスや疑わしい活動パターンがないか、内部システムをスキャンすることも重要です。
結論
CISAが課した21日間の対応期限は、この脆弱性の深刻さと悪用可能性を反映しています。対応を遅らせる組織は、連邦政府のセキュリティ要件への不遵守のリスクを負うだけでなく、パッチが適用されていないシステムを狙う活発な脅威アクターにさらされることになります。すべての組織は、この警告を真剣に受け止め、迅速な対策を講じることが不可欠です。
元記事: https://gbhackers.com/cisa-issues-alert-on-gladinet-centrestack-and-triofox-vulnerabilities/