Trusted Design

解説:

CVE-2024-39717は、Versa Networks社のVersa Directorに存在する、危険なタイプのファイルの無制限アップロードの脆弱性です。この脆弱性は、すでに実際の攻撃で悪用されていることが確認されており、CISAの既知の悪用されている脆弱性（KEV）カタログに追加されています。

1. 脆弱性の概要

1.1 影響 本脆弱性は、Provider-Data-Center-AdminまたはProvider-Data-Center-System-Admin権限を持つ認証済みユーザーが、悪意のあるファイルをアップロードできることにより、特権昇格やリモートコード実行につながる可能性があります。この悪用により、システム侵害、データ漏洩、および認証情報の窃取が発生するおそれがあります。攻撃者は、この脆弱性を利用して「VersaMem」と呼ばれるカスタムWebシェルをデプロイし、認証情報を収集してダウンストリーム顧客のネットワークへのアクセスを可能にしています。

1.2 深刻度 深刻度は「高（High）」と評価されており、CVSS v3.1スコアは7.2です。 この脆弱性は、積極的に悪用されている証拠があるため、CISAの既知の悪用されている脆弱性（KEV）カタログに掲載されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン Versa Directorのバージョン22.1.4より前のすべてのバージョンが影響を受けます。具体的には、以下のバージョンが脆弱です。 * Versa Director 21.2.3（2024年6月21日のホットフィックスより前にリリースされたイメージ） * Versa Director 22.1.1（すべてのイメージ） * Versa Director 22.1.2（2024年6月21日のホットフィックスより前にリリースされたイメージ） * Versa Director 22.1.3（2024年6月21日のホットフィックスより前にリリースされたイメージ）

2.2 影響を受ける設定 この脆弱性は、Versa Directorの管理ポート（特にHAペアリングトラフィックに使用されるポート4566および4570）がインターネットに露出している場合に悪用されます。これは、多くの場合、システム強化とファイアウォールガイドラインの不履行が原因です。 脆弱性の悪用には、Provider-Data-Center-AdminまたはProvider-Data-Center-System-Admin権限を持つ認証済みユーザーが、「Change Favicon」オプションを不正利用する必要があります。

3. 影響を受けた時の兆候

• /var/versa/vnms/web/custom_logo/フォルダー内に、image/pngタイプではない不審なファイルが存在する。コマンド file -b –mime-type <.png file> でファイルタイプを確認できます。
• 攻撃者によって制御されたSOHO（Small Office/Home Office）デバイスがゼロデイ脆弱性を悪用している兆候。具体的には、ポート4566への短時間のTCPトラフィックの直後に、非VersaノードIPアドレス（例：SOHOデバイス）からポート443を介した中規模から大規模なHTTPSトラフィックが見られる場合があります。
• 「VersaMem」Webシェルのデプロイ。

4. 推奨対策

4.1 本対策 Versa Directorを以下の修正済みバージョンにアップグレードしてください。 * Versa Director 21.2.3（2024年6月21日以降のホットフィックス） * Versa Director 22.1.2（2024年6月21日以降のホットフィックス） * Versa Director 22.1.3（2024年6月21日以降のホットフィックス） * Versa Director 22.1.4（すべてのイメージ）

4.2 暫定回避策（緩和策） * Versa Directorのシステム強化とファイアウォールガイドラインを実装し、管理ポートがインターネットに露出しないようにしてください。 * ポート4566および4570への外部/北方向からのアクセスをブロックし、これらのポートがアクティブおよびスタンバイのVersa Directorノード間のHAペアリングトラフィックにのみ開放されるようにしてください。 * アクセス制御を強化してください。 * Versa Networksが提供するセキュリティアドバイザリを確認し、推奨されるベストプラクティスに従ってください。

他に解説すべき観点

• 攻撃者: このゼロデイ脆弱性の悪用と「VersaMem」Webシェルの運用は、中国の国家支援型脅威アクターであるVolt TyphoonおよびBronze Silhouetteに中程度の確度で関連付けられています。
• 攻撃の経路: 攻撃者は、Provider-Data-Center-AdminまたはProvider-Data-Center-System-Adminなどの認証済み管理者権限を悪用し、「Change Favicon」オプションを通じて、悪意のあるファイルを.png拡張子を偽装してアップロードします。初期アクセスは、管理ポートがインターネットに公開されている場合に得られることが多いです。

参照したサイト

• Versa Director zero-day exploited to compromise ISPs, MSPs (CVE-2024-39717)
• CVE-2024-39717 – Versa Director File Upload Vulnerability - Versa Networks
• CVE-2024-39717 – Versa Director Dangerous File Type Upload… - UK Cyber Defence
• Zero-day vulnerability in Versa Director
• Versa Networks Releases Advisory for a Vulnerability in Versa Director, CVE-2024-39717 | CISA
• The Versa Director GUI provides an option to customize... · CVE-2024-39717 - GitHub
• Critical CVE-2024-39717 Vulnerability In Versa Director - Cyble
• vulnerability in versa director servers - ngCERT | Alerts & Advisories
• The Versa Director Zero-Day Exploitation - Lumen Technologies
• CISA Adds One Known Exploited Vulnerability to Catalog for Versa Networks Director