Gladinet CentreStack: מפתחות הצפנה קבועים בקוד מאפשרים תקיפה, ו-Huntress מזהירה

ב-10 בדצמבר 2025 הזהירה Huntress מניצול בשטח של פרצה חדשה ב-Gladinet CentreStack וב-Triofox. הפרצה נובעת ממפתחות הצפנה שהוטמעו בקוד ונשארו זהים בכל התקנה. Huntress ספרה באותו יום תשעה ארגונים שנפגעו, בהם בתחומי הבריאות והטכנולוגיה.

CentreStack היא פלטפורמת שיתוף קבצים ש-Gladinet מציעה בעיקר לספקי IT מסוג MSP. לפי האתר של Gladinet, היא מחברת שרתי קבצים או אחסון ענן. הספק נותן ללקוחות גישה בשם המותג שלו. לכן ספק ה-IT שלכם עשוי להפעיל אותה בשבילכם.

איך הפרצה ב-Gladinet CentreStack עובדת

רכיב בשם GladCtrl64.dll מייצר את מפתח ההצפנה AES ואת וקטור האתחול שלו. הוא מחזיר בכל פעם את אותן מחרוזות קבועות. לכן תוקף שחילץ אותן יכול לזייף כרטיסי גישה.

הכרטיס, Access Ticket, מגיע בבקשה לכתובת filesvr.dn. הוא כולל נתיב לקובץ, שם משתמש, סיסמה וחותמת זמן. השרת דוחה כרטיס שמלאו לו ארבע שעות.

התוקפים זייפו כרטיס שמצביע על web.config, שבו הגדרות האפליקציה. את שם המשתמש והסיסמה הם השאירו ריקים. לפי Huntress, נראה שהשרת חוזר אז להרשאות של ה-Application Pool ב-IIS. את חותמת הזמן הם קבעו לשנת 9999, כך שהכרטיס לא פג.

ב-web.config יושבים מפתחות machineKey, שמגנים על נתוני ViewState ב-ASP.NET. עם המפתחות האלה התוקף מעביר לשרת מטען ViewState זדוני. כך הוא מריץ קוד מרחוק.

בפעילות שנצפתה ניסה התוקף תחילה לנצל את CVE-2025-11371. אחר כך עבר לשיטה החדשה כדי להביא את web.config. הוא ניסה גם להחזיר פלט של פקודה, אבל זה נכשל.

מה עושים: עדכון והחלפת מפתחות

הגרסה המתוקנת היא 16.12.10420.56791, העדכנית ב-8 בדצמבר. לפי Huntress, Gladinet הוציאה build ב-29 בנובמבר והודיעה ללקוחות ב-30 בנובמבר.

בנוסף לעדכון, Huntress ממליצה להחליף את ערכי machineKey. לשם כך יש מדריך של Gladinet להקשחת אשכול CentreStack. אחרת, מי שכבר קרא את web.config עדיין מחזיק במפתחות.

כדי לבדוק אם הותקפתם, חפשו ביומני שרת האינטרנט את המחרוזת vghpI7EToZUDIZDdprSubL3mTZ2. היא מופיעה בבקשות לכתובת /storage/filesvr.dn. Huntress מזכירה גם אירוע 1316 ביומן Application, ותהליך w3wp.exe שמפעיל PowerShell עם פקודה בקידוד Base64.

הפרצה השלישית ב-Gladinet CentreStack תוך שמונה חודשים

ב-14 באפריל 2025 פרסמה Huntress את CVE-2025-30406, מפתחות machineKey קבועים בקבצי web.config של שני המוצרים. ב-9 באוקטובר 2025 היא פרסמה את CVE-2025-11371, הכללת קבצים מקומית שמאפשרת לקרוא קבצים בלי הזדהות. בכל המקרים ההמשך זהה: מחלצים את machineKey ומריצים קוד דרך ViewState.

זו הפרצה השלישית שמפרסמת Huntress על המוצרים האלה ב-2025. מי שעדכן באוקטובר עלול להישאר חשוף, כי התיקון של אז היה לבעיה אחרת. לכן בדקו את מספר הגרסה, ולא רק את תאריך העדכון האחרון.

עוד ב-GEEKLIK: UniFi OS: CISA מוסיפה לקטלוג שלוש חולשות בציון 10, שמנוצלות בפועל

מה קרה מאז

ב-12 בדצמבר 2025 הוסיפה Huntress לפוסט שלה את המזהה CVE-2025-14611. CISA הוסיפה אותו ב-15 בדצמבר לקטלוג החולשות המנוצלות, עם מועד תיקון ב-5 בינואר 2026. ב-18 בדצמבר כתבה Huntress שחברות אחרות מקשרות את הפעילות לכנופיית Cl0p. היא עצמה לא אישרה זאת. באותו עדכון היא דיווחה על שני מקרים נוספים מ-15 בדצמבר.