ネットワーク管理製品「Versa Director」に脆弱性 - すでに悪用も

Versa Networksのネットワーク管理製品「Versa Director」に脆弱性が明らかとなった。脆弱性を標的とした攻撃も確認されており、米当局なども注意を呼びかけている。

同製品で特定の管理者権限を持つユーザーにより、画像ファイルを装って悪意あるファイルをアップロードできる脆弱性「CVE-2024-39717」が判明したもの。同社は重要度を「高（High）」とレーティングしている。

CVE番号を採番したHackerOneでは、共通脆弱性評価システム「CVSSv3.0」のベーススコアを「6.6」と評価、重要度を「中（Medium）」とした。

2015年、2017年に公開されたファイアウォールのガイドラインに沿って運用されていなかった顧客の環境で同脆弱性が悪用されたとの報告が1件あるという。

同社では主要なブラウザにおけるテストを進めているが、アップロードされた悪意あるファイルが、クライアント上で実行されたケースは確認されていないとしている。またサードパーティのテレメトリにおいて脆弱性に関する観測の報告もあるが、詳細はわかっていない。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間8月23日、「悪用が確認された脆弱性カタログ（KEV）」に同脆弱性を追加。行政機関へ対応を求めるとともに、利用者へ広く注意を呼びかけている。

（Security NEXT - 2024/08/26 ）ツイート