「Versa Director」に深刻な脆弱性 - 「DB」の規定パスワードが共通

Versa Networksのネットワーク管理プラットフォーム「Versa Director」に深刻な脆弱性「CVE-2024-42450」が明らかとなった。

運用データや構成データを保存し、冗長構成にも必要となるデータベース「PostgreSQL」のデフォルトパスワードが、すべてのインスタンスで同じものを利用している脆弱性「CVE-2024-42450」が明らかとなったもの。

同製品では、すべてのネットワークインターフェイスでリッスンするよう「PostgreSQL」を構成するため、認証をバイパスしてデータベースを制御したり、ローカルファイルシステムを読み取り、権限の昇格などが可能になるという。

実際に利用されている環境における悪用の報告はないものの、概念実証（PoC）が確認されている。

CVE番号を採番したHackerOneでは、共通脆弱性評価システム「CVSSv3.0」のベーススコアを最高値の「10.0」、重要度を4段階中もっとも高い「クリティカル（Critical）」とした。米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）も同様の評価を行っている。

（Security NEXT - 2024/11/25 ）ツイート