Descripción
Gladinet CentreStack y TrioFox contienen una vulnerabilidad de claves criptográficas embebidas en el código (hard-coded) en su implementación del esquema criptográfico AES. Esta vulnerabilidad reduce la seguridad de los endpoints expuestos públicamente que puedan utilizarla y podría permitir la inclusión arbitraria de archivos locales (LFI) al recibir una solicitud especialmente manipulada sin autenticación.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de centrestack.com centrestack.com/p/gce_latest_release.html
- Aviso de access.triofox.com access.triofox.com/releases_history/
- Aviso de support.centrestack.com support.centrestack.com/hc/en-us/articles/360007159054-Hardening-the-…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-14611
Ver el texto original en inglés (CISA)
Gladinet CentreStack and Triofox Hard Coded Cryptographic Vulnerability
Gladinet CentreStack and TrioFox contain a hardcoded cryptographic keys vulnerability for their implementation of the AES cryptoscheme. This vulnerability degrades security for public exposed endpoints that may make use of it and may offer arbitrary local file inclusion when provided a specially crafted request without authentication.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://www.centrestack.com/p/gce_latest_release.html ; https://access.triofox.com/releases_history/; https://support.centrestack.com/hc/en-us/articles/360007159054-Hardening-the-CentreStack-Cluster#h_01JQRV57T37HJFQZKBZH9NBXQP ; https://nvd.nist.gov/vuln/detail/CVE-2025-14611
Otras vulnerabilidades de Gladinet en el catálogo
- CVE-2025-12480 Vulnerabilidad de control de acceso incorrecto en Gladinet Triofox Alta 12-11-2025
- CVE-2025-11371 Vulnerabilidad de archivos o directorios accesibles a terceros externos en Gladinet CentreStack y Triofox Alta 04-11-2025
- CVE-2025-30406 Vulnerabilidad de uso de clave criptográfica embebida en el código (hard-coded) en Gladinet CentreStack y Triofox Alta 08-04-2025