JVNDB-2024-030121

Versa Networks, Inc.のVersa Directorにおける重要な機能に対する認証の欠如に関する脆弱性

Versa Directorはオーケストレーションおよび管理のためのREST APIを提供しています。設計上、ログイン画面、バナーディスプレイ、デバイス登録など、特定のAPIは認証を必要としません。しかし、インターネットに直接接続されたDirectorにおいては、これらのAPIのうちの1つに対し、GETリクエストに無効な引数を注入することで、不正利用される可能性があることが判明しました。この結果、現在ログイン中の他のユーザーの認証トークンが露呈する恐れがあります。露出したトークンは、ポート9183の追加API呼び出しに利用される可能性があります。この攻撃ではユーザー名やパスワード情報が一切漏洩しません。 現時点でVersa Directorには解決策がありません。ただし、Versa Directorの前にWebアプリケーションファイアウォール（WAF）やAPIゲートウェイが配置されている場合は、それらを利用して脆弱なAPIのURLへのアクセスをブロックすることが可能です。該当APIのURLは、ポート9182および9183で/vnms/devicereg/device/*、ポート443で/versa/vnms/devicereg/device/*です。VersaはDirectorを修正済みソフトウェアバージョンのいずれかにアップグレードすることを推奨しています。この脆弱性はインターネットに曝露されていないVersa Directorでは悪用できません。また、Versaがホストするヘッドエンドに影響がないことを確認しています。さらなる支援が必要な場合は、VersaテクニカルサポートまたはVersaアカウントチームにお問い合わせください。

Versa Networks, Inc.

• Versa Director 21.2.2
• Versa Director 21.2.3
• Versa Director 22.1.1
• Versa Director 22.1.2
• Versa Director 22.1.3
• Versa Director 22.1.4

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Versa Networks, Inc.

• Versa Networks, Inc. : Versa Security Portal

1. 重要な機能に対する認証の欠如(CWE-306) [その他]

1. CVE-2024-45229

1. National Vulnerability Database (NVD) : CVE-2024-45229

• [2026年08月26日]
    掲載