SOC Prime Bias: Critico

11 Nov 2025 14:08 UTC
newspaper icon Google Cloud Blog

CVE-2025-12480: Il rapporto SOC sulla vulnerabilità di controllo accessi non autenticato in Triofox di Gladinet

Author Photo
Ruslan Mikhalov Chief of Threat Research at SOC Prime linkedin icon Segui
CVE-2025-12480: Il rapporto SOC sulla vulnerabilità di controllo accessi non autenticato in Triofox di Gladinet
shield icon

Detection stack

  • AIDR
  • Alert
  • ETL
  • Query


Analisi

Una vulnerabilità di controllo accessi improprio identificata come CVE‑2025‑12480 in Gladinet Triofox ha permesso ad attaccanti non autenticati di bypassare completamente l’autenticazione, accedere alle pagine di configurazione iniziali anche dopo l’installazione, creare nuovi account amministratore e successivamente abusare delle funzionalità integrate per eseguire payload arbitrari. Data la sua alta gravità (CVSS 9.1) e l’effettiva sfruttamento nel mondo reale, questo bug rappresenta un rischio serio per le organizzazioni che eseguono versioni vulnerabili.

Indagine

I ricercatori sulle minacce di Mandiant (tramite Google Cloud) hanno scoperto che già dal 24 agosto 2025, il cluster di minacce UNC6485 ha sfruttato la falla inviando richieste HTTP con un’intestazione Host manipolata impostata su “localhost”, bypassando così il controllo nella funzione CanRunCriticalPage() e accedendo a pagine di configurazione come AdminDatabase.aspx e AdminAccount.aspx. Una volta all’interno, gli attaccanti hanno utilizzato la funzione di configurazione anti-virus del prodotto (che operava con privilegi di SISTEMA) per distribuire uno script batch dannoso che scaricava un payload camuffato (ad esempio, l’installatore di Zoho UEMS) e successivamente installava strumenti di accesso remoto (Zoho Assist, AnyDesk) e stabiliva tunnel SSH inversi.

Mitigazione

Le organizzazioni dovrebbero assicurarsi di aver aggiornato Triofox alla versione 16.7.10368.56560 (o successiva), che risolve l’accesso alle pagine di configurazione iniziali dopo l’installazione. Mitigazioni aggiuntive includono l’audit e la disabilitazione degli account amministratore nativi inutilizzati, la restrizione dell’accesso alle interfacce di gestione tramite IP o segmento di rete, la verifica che la funzione anti-virus non permetta la configurazione di percorsi arbitrari o l’esecuzione di binari non attendibili, e il monitoraggio per SSH/porta 433 o tunneling RDP anomali in uscita.

Risposta

Se sospetti che un server Triofox sia compromesso, isola immediatamente l’host interessato, esamina i log HTTP per valori sospetti dell’intestazione Host (ad esempio, “localhost”), controlla la creazione non autorizzata di account amministratore e cerca evidenze di caricamenti di file dannosi, strumenti di tunneling inverso o esecuzione di processi inusuali dal servizio Triofox. Poi, re-immagini o ripristina l’host con la versione software corretta, reimposta le credenziali interessate e ruota le credenziali sugli strumenti ausiliari, e segnala l’incidente al tuo CERT nazionale o autorità di sicurezza. Infine, aggiorna le tue regole di threat‑hunting o SIEM per rilevare questa catena di attacco (bypass dell’autenticazione → nuovo account amministratore → abuso del percorso dell’antivirus → download del payload → installazione dello strumento di accesso remoto) in futuro.

Flusso di Attacco

Istruzioni di Simulazione

  • Narrativa dell’Attacco & Comandi:
    Un attaccante, avendo identificato l’endpoint vulnerabile AdminDatabase.aspx , crea una richiesta HTTP GET che imposta l’intestazione Host a localhost. Questo inganna l’applicazione nel trattare la richiesta come una chiamata interna, potenzialmente bypassando i controlli di accesso e permettendo ulteriori sfruttamenti (ad esempio, caricamento di una web‑shell). L’attaccante invia anche una richiesta secondaria dove l’intestazione Referer contiene http://localhost/ per soddisfare la condizione di rilevamento alternativa. Entrambe le richieste sono inviate utilizzando curl per garantire il controllo grezzo delle intestazioni.

  • Script di Test di Regressione:

    #!/usr/bin/env bash
# -------------------------------------------------
# Simula attacco Host Header contro AdminDatabase.aspx
# -------------------------------------------------

TARGET="http://vulnerable-webapp.example.com"
ENDPOINT="/AdminDatabase.aspx"

echo "[*] Invio di richiesta GET con intestazione Host malevola (selezione 2)..."
curl -s -o /dev/null -w "%{http_code}n" 
     -H "Host: localhost" 
     -H "User-Agent: Mozilla/5.0" 
     "${TARGET}${ENDPOINT}"

Unisciti alla piattaforma Detection as Code di SOC Prime per migliorare la visibilità sulle minacce più rilevanti per il tuo business. Per aiutarti a iniziare e aumentare immediatamente il valore, prenota ora un incontro con gli esperti di SOC Prime.

Iscriviti gratis