CVE-2025-12480
Gladinet Triofox Improper Access Control Vulnerability
Beschreibung
CVE-2025-12480 ist eine kritische Schwachstelle in Gladinet Triofox, einer Filesharing- und Remote-Access-Loesung fuer Unternehmen. Die Schwachstelle basiert auf einer fehlerhaften Zugriffskontrolle (Improper Access Control), die es unauthentifizierten Angreifern ermoeglicht, auf die initialen Setup-Seiten zuzugreifen, obwohl die Ersteinrichtung bereits abgeschlossen ist. Mit einem CVSS v3.1-Score von 9.1 (CRITICAL) stellt diese Schwachstelle ein erhebliches Risiko dar, da sie ohne Authentifizierung und ohne Benutzerinteraktion ueber das Netzwerk ausnutzbar ist.
Die CISA hat CVE-2025-12480 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Dezember 2025. Der EPSS-Score von 73.22 % (98.8. Perzentil) ist aussergewoehnlich hoch und zeigt, dass diese Schwachstelle zu den am intensivsten ausgenutzten Schwachstellen weltweit gehoert. Google Mandiant hat die aktive Ausnutzung dieser Schwachstelle dokumentiert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| gladinet | triofox | < 16.7.10368.56560 |
Referenzen
- https://access.triofox.com/releases_history/(Release Notes)
- https://cloud.google.com/blog/topics/threat-intelligence/triofox-vulnerability-cve-2025-12480(Exploit, Third Party Advisory)
- https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2025/MNDT-2025-0008.md(Third Party Advisory)
- https://www.triofox.com/(Product)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-12480(US Government Resource)
Schwachstellentyp
CWE-284: Improper Access Control
CVE-2025-12480 basiert auf CWE-284 (Improper Access Control), einer weit verbreiteten Schwachstellenklasse, bei der eine Anwendung den Zugriff auf Ressourcen oder Funktionen nicht ordnungsgemaess einschraenkt. Im Fall von Triofox bleiben die initialen Setup-Seiten auch nach Abschluss der Ersteinrichtung erreichbar, obwohl diese sensible Konfigurationsmoeglichkeiten bieten.
Diese Art von Schwachstelle entsteht haeufig, wenn Zugriffspruefungen nicht konsequent auf alle Endpunkte angewendet werden. Setup-Seiten sind ein besonders kritisches Ziel, da sie typischerweise administrative Funktionen wie die Konfiguration von Datenbanken, Authentifizierungssystemen und Administratorkonten bereitstellen. Mehr erfahren
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-12480 sind aufgrund der Natur der exponierten Setup-Seiten besonders schwerwiegend. Vertraulichkeit: Ein Angreifer kann ueber die Setup-Seiten Zugang zu Konfigurationsinformationen erlangen, darunter Datenbankverbindungsdaten, Speicherkonfigurationen und moeglicherweise vorhandene Authentifizierungstokens. Da Triofox als Filesharing-Plattform sensible Unternehmensdaten verwaltet, kann dies zur Offenlegung vertraulicher Geschaeftsdokumente fuehren.
Integritaet: Durch den Zugriff auf Setup-Funktionen kann ein Angreifer die Systemkonfiguration manipulieren, eigene Administratorkonten anlegen oder bestehende Authentifizierungsmechanismen aendern. Dies ermoeglicht die vollstaendige Uebernahme der Triofox-Instanz und die Manipulation aller gespeicherten und geteilten Dateien.
Der aussergewoehnlich hohe EPSS-Score von 73.22 % zeigt, dass diese Schwachstelle in der Praxis massiv ausgenutzt wird. Die Verfuegbarkeit wird im CVSS-Vektor nicht als betroffen eingestuft (A:N), jedoch ermoeglicht die Systemuebernahme indirekt auch die Stoerung des Dienstes. Der Ransomware-Status ist als Unknown klassifiziert, jedoch ist eine Nutzung im Rahmen von Ransomware-Kampagnen aufgrund der vollstaendigen Zugriffskontrolle plausibel.
Exploit-Reifegrad
CVE-2025-12480 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 3. Dezember 2025. Der EPSS-Score von 73.22 % (98.8. Perzentil) ist extrem hoch und platziert diese Schwachstelle unter den Top 1.2 % der weltweit am staerksten ausgenutzten Schwachstellen.
Google Mandiant hat in einem detaillierten Blog-Beitrag die aktive Ausnutzung dokumentiert und technische Details zur Angriffsweise veroeffentlicht. Mandiant hat die Schwachstelle im Rahmen von Vulnerability Disclosure MNDT-2025-0008 gemeldet, was die ernsthafte Bedrohungslage unterstreicht.
Die Kombination aus fehlender Authentifizierungsanforderung (PR:N), Netzwerk-Erreichbarkeit (AV:N) und niedriger Angriffskomplexitaet (AC:L) macht diese Schwachstelle besonders leicht ausnutzbar. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Sofortiges Update auf Triofox 16.7.10368.56560 oder hoeher: Gladinet hat ein Sicherheitsupdate bereitgestellt, das die fehlerhafte Zugriffskontrolle auf die Setup-Seiten behebt. Pruefen Sie die Release Notes fuer Details zur gepatchten Version und fuehren Sie das Update umgehend durch.
-
Netzwerkzugriff einschraenken: Beschraenken Sie den Zugriff auf die Triofox-Weboberflaeche auf vertrauenswuerdige IP-Bereiche ueber Firewall-Regeln. Stellen Sie sicher, dass die Verwaltungsoberflaeche nicht oeffentlich erreichbar ist, und nutzen Sie ein VPN fuer den Fernzugriff auf die Administration.
-
Kompromittierungspruefung durchfuehren: Untersuchen Sie Server-Logs auf verdaechtige Zugriffe auf Setup-Endpunkte. Pruefen Sie, ob unbekannte Administratorkonten angelegt oder Konfigurationsaenderungen vorgenommen wurden. Ueberpruefen Sie die Integritaet der Datenbankverbindungsdaten und Authentifizierungseinstellungen.
-
Zugangsdaten rotieren: Aendern Sie alle Administratorpasswoerter und API-Schluessel der Triofox-Installation. Rotieren Sie Datenbankpasswoerter und ueberpruefen Sie die Konfiguration externer Speicheranbindungen (Azure, S3, lokale Netzwerkspeicher).
-
Monitoring einrichten: Implementieren Sie eine Ueberwachung fuer Zugriffe auf Setup- und Konfigurationsendpunkte. Richten Sie Alarme fuer unerwartete Konfigurationsaenderungen und die Erstellung neuer Administratorkonten ein.
Technische Details
CVE-2025-12480 betrifft Gladinet Triofox in Versionen vor 16.7.10368.56560. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N zeigt einen netzwerkbasierten Angriff (AV:N) mit niedriger Komplexitaet (AC:L), der weder Authentifizierung (PR:N) noch Benutzerinteraktion (UI:N) erfordert.
Die Schwachstelle liegt in der fehlenden Zugriffskontrolle auf die initialen Setup-Seiten der Triofox-Webanwendung. Nach der Ersteinrichtung einer Triofox-Instanz sollten diese Seiten deaktiviert oder nur fuer authentifizierte Administratoren zugaenglich sein. In den betroffenen Versionen bleiben die Setup-Endpunkte jedoch vollstaendig erreichbar, unabhaengig vom Installationsstatus.
Ein unauthentifizierter Angreifer kann diese Setup-Seiten aufrufen und darueber die Systemkonfiguration einsehen oder veraendern. Dies umfasst potenziell die Neukonfiguration von Datenbankverbindungen, Speicheranbindungen und Administratorkonten. Der Scope bleibt unveraendert (S:U), und die Verfuegbarkeit ist nicht direkt betroffen (A:N), da der Angriff primaer auf Vertraulichkeit (C:H) und Integritaet (I:H) abzielt.
Die hohe Bewertung von 9.1 ergibt sich aus der Kombination von fehlender Authentifizierung und dem Zugriff auf kritische Konfigurationsfunktionen. Triofox wird als Remote-Access- und Filesharing-Loesung eingesetzt und ist daher typischerweise aus dem Internet erreichbar, was die Angriffsflaeche erheblich vergroessert.
Häufig gestellte Fragen
Was ist Triofox und wer ist von CVE-2025-12480 betroffen?
Triofox ist eine Enterprise-Filesharing- und Remote-Access-Loesung von Gladinet, die haeufig als Alternative zu VPN und traditionellen Dateiservern eingesetzt wird. Betroffen sind alle Triofox-Installationen mit Versionen vor 16.7.10368.56560. Da Triofox typischerweise aus dem Internet erreichbar ist, sind exponierte Instanzen besonders gefaehrdet.
Wie wird CVE-2025-12480 ausgenutzt?
Ein Angreifer sendet einfach HTTP-Anfragen an die Setup-Endpunkte der Triofox-Weboberflaeche. Da diese Endpunkte keine Authentifizierung erfordern, kann jeder Angreifer mit Netzwerkzugang die Konfigurationsseiten aufrufen und die Systemeinstellungen einsehen oder veraendern.
Gibt es oeffentliche Exploits fuer CVE-2025-12480?
Ja, Google Mandiant hat die aktive Ausnutzung dokumentiert und technische Details in einem Blog-Beitrag veroeffentlicht. Der extrem hohe EPSS-Score von 73.22 % bestaetigt die weitverbreitete Ausnutzung.
Ist auch Gladinet CentreStack von dieser Schwachstelle betroffen?
Diese spezifische CVE betrifft nur Triofox. Allerdings existiert mit CVE-2025-11371 eine separate Schwachstelle, die sowohl CentreStack als auch Triofox betrifft. Organisationen, die Gladinet-Produkte einsetzen, sollten beide CVEs pruefen und alle Instanzen aktualisieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.