CVE-2025-30406 — 神龙十问 AI 深度分析摘要
CVSS 9.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：硬编码 `machineKey` 导致反序列化漏洞。 💥 **后果**：攻击者可构造恶意 ViewState 实现 **远程代码执行 (RCE)**。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-321 (使用单一加密/签名机制的多个对象)。 📍 **缺陷点**：ASP.NET 门户使用了 **硬编码的 machineKey**，导致签名可被伪造。
Q3影响谁？（版本/组件）
🏢 **厂商**：Gladinet。 📦 **产品**：CentreStack (及 Triofox)。 📅 **版本**：16.1.10296.56315 及更早版本。
Q4黑客能干啥？（权限/数据）
👑 **权限**：服务器端 **SYSTEM/最高权限**。 📂 **数据**：完全控制服务器，可窃取所有自托管云存储数据。
Q5利用门槛高吗？（认证/配置）
🔓 **认证**：**无需认证** (PR:N)。 🌐 **网络**：远程利用 (AV:N)。 ⚙️ **配置**：攻击者需知晓硬编码的 machineKey (已知公开)。
Q6有现成Exp吗？（PoC/在野利用）
💣 **在野利用**：✅ 2025年3月已在野外发现利用。 🧪 **PoC**：✅ 多个 GitHub 仓库提供 PoC (Nuclei模板, ysoserial脚本等)。
Q7怎么自查？（特征/扫描）
🔎 **扫描**：使用 Nuclei 模板 `CVE-2025-30406.yaml`。 🕵️ **检测**：检查是否存在针对 ASP.NET ViewState 的恶意反序列化请求。
Q8官方修了吗？（补丁/缓解）
🛠️ **补丁**：✅ 已修复。 📌 **版本**：升级至 **16.4.10315.56368** 或更高版本。
Q9没补丁咋办？（临时规避）
🛡️ **缓解**：若无法升级，需 **移除或替换硬编码的 machineKey**，确保其保密性与随机性。
Q10急不急？（优先级建议）
⚡ **优先级**：**极高 (Critical)**。 📢 **建议**：立即升级或应用缓解措施，因漏洞已公开且存在在野利用。