VersaのConcertoツールに重大なバグが未修正のまま

出典: David Hall via Alamy Stock Photo

重大で現在公開されている脆弱性が、数十の大規模な露出した通信ネットワークに潜んでいます。

Versa Networksは12年の歴史を持つセキュアアクセスサービスエッジ（SASE）プロバイダーで、近年多くの資金調達と好意的な報道を受けています。しかし、大手組織のベンダーとして、高度な脅威アクターの注目も集めています。例えば昨年、中国のVolt Typhoonは、Versa Directorの脆弱性を悪用しました。これは、ソフトウェア定義広域ネットワーク（SD-WAN）とネットワークセキュリティツールの集中管理プラットフォームです。

3か月前、ProjectDiscoveryの研究者が、技術スタックのDirectorの上に位置するオーケストレーション層であるConcertoにおいて発見した3つのゼロデイについて会社に連絡しました。これらは攻撃者がConcertoアプリケーションとそれを実行するホストシステムを完全に侵害することを可能にしますが、問題は現在も未解決のままです。

Versa Concertoの3つのCVE

最初の、比較的低いスコアのConcertoの脆弱性は、特権昇格とコンテナのエスケープを可能にします。これは、特定のDockerコンテナ（「core-service」）内の2つのディレクトリが、Concertoのすべてのコンテナを実行するホストコンピュータのファイルシステムに直接マッピングされていることに起因します。攻撃者は、この状況を利用してホスト上で定期的なタスクを設定し、悪意のあるスクリプトをトリガーすることでホストを制御できます。VulnCheckはこの脆弱性をCVE-2025-34025とラベル付けし、共通脆弱性評価システム（CVSS）で「高い」8.6の評価を付けました。

関連:攻撃者がSamsung MagicINFOサーバーのバグを狙う、今すぐパッチを適用

Concertoの外部に面したコンテナで、他のコンテナへの着信要求を指示するものはTraefikと呼ばれます。外部クライアントからの要求が来ると、Traefikはそれらに特定のヘッダー、X-Real-Ipをタグ付けします。このアプリケーションはこのヘッダーを使用して、潜在的に有害なトラフィックが重要なエンドポイントに到達するのを防ぎます。しかし、研究者たちは、Traefikが要求に追加する特定のヘッダーを削除する方法を示す古いセキュリティアドバイザリーを特定し、この認証チェックを排除し、プレーンテキストの資格情報や管理者アクセスを得るのに役立つユーザーセッショントークンを含む、機密アプリケーション情報があるエンドポイントへのアクセスを可能にしました。この問題、CVE-2025-34026は、「クリティカル」9.2のCVSSスコアを持っています。

最後に、CVE-2025-34027は、単なる1つの脆弱性ではなく、むしろエクスプロイトチェーンです。最初に、認証バイパスを可能にするチェック時から使用時までの時間（TOCTOU）の問題があります。次に、パッケージアップロードを処理するエンドポイントの欠陥があり、攻撃者がファイルをシステムに一時的に書き込むことを可能にします。最後に、そのタイミングの癖を打ち破る競合状態を設定し、システムに悪意のあるコードを実行させます。この組み合わせの脆弱性は、CVSSシステムで可能な限り最高の10点満点を獲得しました。

関連:RealDefenseパートナープログラムが年間収益1億ドルを突破

大きな問題、解決策は見えず

これらの脆弱性は、様々な方法で認証バイパス、コンテナのエスケープ、特権昇格、リモートコード実行（RCE）を可能にし、Concertoとその実行システム、および組織の広範なネットワークを危険にさらします。「攻撃者がコード実行を行ったり、管理パネルにアクセスしたりできるようになると、Versa Concertoアプリケーションに接続されている他のサーバーがあります」と、ProjectDiscoveryの脆弱性研究者Rahul Mainiは説明します。例えば、Versa Directorサーバーがあります。「場合によっては、それらのサーバーにもアクセスできることがあります。そして、様々な設定があり、プレーンテキストのパスワードを見ることができる場所があります。例えば、Active Directory（AD）のパスワードや内部プロキシの資格情報を設定できる場所があります。」

幸いなことに、Mainiは、インターネットに露出しているConcertoインスタンスを持つ組織の数は数十に過ぎないと報告しています。不幸なことに、彼は付け加えますが、それらの会社は重要で集中化された通信プロバイダーである傾向があり、これが昨年VersaがVolt Typhoonを引き付けた理由でもあります。

関連:Ivanti EPMMのゼロデイの欠陥が連鎖攻撃で悪用される

しかし、最も懸念されるのは、これらの問題に対する解決策が見えていないことです。Versa Networksは最初に2月15日にそれを認めました。2月17日には修正を準備していると主張し、3月28日にも同様の主張をしました。それ以来、研究者たちはベンダーに連絡が取れていません。

Dark ReadingはこのストーリーについてVersa Networksに問い合わせました。会社の代表者はメールを受け取ったことを認めましたが、まだ声明を提供していません。

最新のDark Reading Confidentialポッドキャストをお見逃しなく、The Day I Found an APT Group in the Most Unlikely Place、ここでは脅威ハンターのIsmael ValenzuelaとVitor Venturaが、高度な持続的脅威を追跡するために使用したトリックとその過程で発見した驚きを共有します。今すぐ聴く！