VersaのConcerto Orchestratorで3つの重大なバグが修正されました

出典: David Hall via Alamy Stock Photo

多数の大規模なインターネットにさらされた通信ネットワークで、3つの深刻な脆弱性が発見されました。

Versa Networksは、12年の歴史を持つセキュアアクセスサービスエッジ（SASE）プロバイダーで、近年多くの資金と好意的な報道を受けてきました。しかし、大手組織のベンダーとして、高度な脅威アクターの注目も集めています。例えば昨年、中国のVolt TyphoonがVersa Directorの脆弱性を悪用しました。これは、ソフトウェア定義広域ネットワーク（SD-WAN）とネットワークセキュリティツールのための集中管理プラットフォームです。

最近、ProjectDiscoveryの研究者たちは、技術スタックのDirectorの上に位置するオーケストレーション層であるConcertoにおいて、3つのゼロデイを発見しました。これらのバグは攻撃者がConcertoアプリケーションとそれを実行しているホストシステムを完全に侵害する可能性がありましたが、インターネットに公開されているConcertoインスタンスを持つ組織にのみ影響し、すでに修正されています。

Versa Concertoの3つのCVE

最初の、比較的低いスコアのConcerto脆弱性は、特権昇格とコンテナエスケープを可能にしました。これは、特定のDockerコンテナ（「core-service」）内の2つのディレクトリが、Concertoのすべてのコンテナを実行しているホストコンピュータのファイルシステムに直接マッピングされていることに起因します。攻撃者は、ホスト上で定期的なタスクを設定して悪意のあるスクリプトをトリガーし、ホストを制御することができました。この脆弱性はVulnCheckによってCVE-2025-34025とラベル付けされ、共通脆弱性評価システム（CVSS）で「高い」8.6の評価を受けました。

関連:攻撃者がSamsung MagicINFOサーバーのバグを狙う、今すぐパッチを適用

Concertoの外部向けコンテナで、他のコンテナへの着信要求を指示するものはTraefikと呼ばれます。外部クライアントからの要求が来ると、Traefikはそれらに特定のヘッダー、X-Real-Ipをタグ付けします。アプリケーションはこのヘッダーを使用して、潜在的に有害なトラフィックが重要なエンドポイントに到達するのを防ぎます。しかし、研究者たちは古いセキュリティ勧告を特定し、Traefikが要求に追加する特定のヘッダーを削除する方法を示しました。これにより、この認証チェックを排除し、プレーンテキストの資格情報や管理者アクセスを得るために役立つユーザーセッショントークンを含む、機密アプリケーション情報があるエンドポイントにアクセスできるようになりました。この問題はCVE-2025-34026で、「クリティカル」9.2のCVSSスコアを持っています。

最後に、CVE-2025-34027は、単なる1つの脆弱性ではなく、エクスプロイトチェーンでした。最初に、認証バイパスを可能にするチェック時と使用時のタイミングの問題（TOCTOU）がありました。次に、パッケージアップロードを処理するエンドポイントの欠陥があり、攻撃者はファイルが削除される前にシステムに一時的に書き込むことができました。最後に、そのタイミングの癖を打ち破る競合状態を設定して、システムに悪意のあるコードを実行させました。この組み合わせの脆弱性は、CVSSシステムで最高の10点満点のスコアを獲得しました。

関連:RealDefenseパートナープログラムが年間収益1億ドルを突破

大きな問題、修正済み

これらの脆弱性は、認証バイパス、コンテナエスケープ、特権昇格、リモートコード実行（RCE）を可能にし、Concertoとそれが実行されているシステム、そして組織の広範なネットワークを危険にさらしました。「攻撃者がコード実行を行ったり、管理パネルにアクセスしたりすると、Versa Concertoアプリケーションに接続されている他のサーバーがあります」と、ProjectDiscoveryの脆弱性研究者Rahul Mainiは説明します。例えば、Versa Directorサーバーがあります。「場合によっては、それらのサーバーにもアクセスできることがあります。そして、Active Directory（AD）のパスワードや内部プロキシの資格情報を設定できる場所など、クリアテキストのパスワードが見えるさまざまな設定があります。」

関連:Ivanti EPMMのゼロデイの欠陥が連鎖攻撃で悪用される

幸いなことに、Mainiによれば、インターネットに公開されたConcertoインスタンスを持つ組織の数は数十に過ぎなかったと報告されています。不幸なことに、彼はそれらの企業が大規模で集中化された通信プロバイダーであることが多く、それが昨年VersaがVolt Typhoonを引きつけた理由でもあると付け加えます。

ProjectDiscoveryの研究者たちは、2月13日に3つの脆弱性を報告しました。彼らは4月と5月にVersa Networksとの連絡を失い、5月21日にパッチがまだ出ていないと誤って報告しました。Dark Readingはこれを確認するためにVersa Networksに連絡しました。この記事の初版が公開された後、Versa NetworksはDark Readingの問い合わせに応じました。同社は、3月7日までにホットフィックスを開発、検証、リリースし、4月16日に3つの問題すべてに対する修正を含む完全なソフトウェアリリースを行ったと述べました。

「すべての影響を受けた顧客は、推奨される更新を適用する方法についてのガイダンスとともに、確立されたセキュリティおよびサポートチャネルを通じて通知されました」と同社は声明で述べました。「多くの顧客はすでに4月16日のリリースにアップグレードしていますが、一部の展開はまだ保留中であることを認識しています。」また、これらの脆弱性が野生で悪用されたという兆候はないことも指摘しました。

最新のDark Reading Confidentialポッドキャストをお見逃しなく、The Day I Found an APT Group in the Most Unlikely Place、ここでは、脅威ハンターのIsmael ValenzuelaとVitor Venturaが、高度な持続的脅威を追跡するために使用したトリックや、途中で発見した驚きについてのストーリーを共有しています。今すぐ聴く！