Il 9 aprile 2025, l'Agenzia per la Sicurezza Informatica e delle Infrastrutture degli Stati Uniti (CISA) ha aggiunto una grave vulnerabilità di sicurezza che colpisce Gladinet CentreStack al suo catalogo di Vulnerabilità Sfruttate Conosciute (KEV). Questa vulnerabilità, identificata come CVE-2025-30406, presenta un punteggio CVSS di 9.0, indicando un alto livello di gravità. La falla riguarda l'uso di una chiave crittografica codificata, che potrebbe essere sfruttata per eseguire codice in modalità remota. La vulnerabilità è stata risolta nella versione 16.4.10315.56368 del software, rilasciata il 3 aprile 2025.

Crittografia e Verifica dell'Integrità

CISA ha evidenziato che Gladinet CentreStack contiene una vulnerabilità legata all'uso di chiavi crittografiche codificate nel modo in cui l'applicazione gestisce le chiavi utilizzate per la verifica dell'integrità di ViewState. Questa vulnerabilità, se sfruttata con successo, consente a un attaccante di falsificare payload ViewState per la deserializzazione lato server, permettendo così l'esecuzione di codice remoto.

Dettagli Tecnici

Il problema risiede nell'uso di una "machineKey" codificata nel file web.config di IIS, che consente agli attori di minacce con conoscenza della "machineKey" di serializzare un payload per una successiva deserializzazione lato server, al fine di ottenere l'esecuzione di codice remoto.

Attualmente, non ci sono dettagli su come la vulnerabilità venga sfruttata, sull'identità degli attori delle minacce che la sfruttano, né su chi potrebbero essere i bersagli di questi attacchi. Tuttavia, una descrizione del difetto di sicurezza su CVE.org afferma che CVE-2025-30406 è stata sfruttata in natura nel marzo 2025, indicando il suo utilizzo come zero-day.

Azioni Consigliate

Gladinet, in un avviso, ha anche riconosciuto che "lo sfruttamento è stato osservato in natura", esortando i clienti ad applicare le correzioni il prima possibile. Se non è possibile effettuare una patch immediata, è consigliato ruotare il valore della machineKey come mitigazione temporanea.