VOS（旧Versa FlexVNF）で認証を回避される脆弱性、既定の認証情報で設定操作の恐れ
Summary
VOSのURLベースのゼロタッチプロビジョニング用Node.jsウェブサービスに、既定の認証情報で認証できる脆弱性（CVE-2026-107241）が見つかりました。ネットワークから到達できる攻撃者が既定の認証情報を知っていれば、VOS機器でプロビジョニング操作を行われるおそれがあります。影響するのは21.1.1から21.2.3、22.1.2から22.1.4、23.1.2の一部版です。修正版は、22系が2026年7月2日、23系が8月3日の版が案内されています。修正版がない版では、ベンダーが推奨するようにプロビジョニング後にNode.jsウェブサービスを無効にしてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
VOSのURLベースのゼロタッチプロビジョニング用Node.jsウェブサービスに、既定の認証情報で認証できる脆弱性（CVE-2026-107241）が見つかりました。ネットワークから到達できる攻撃者が既定の認証情報を知っていれば、VOS機器でプロビジョニング操作を行われるおそれがあります。影響するのは21.1.1から21.2.3、22.1.2から22.1.4、23.1.2の一部版です。修正版は、22系が2026年7月2日、23系が8月3日の版が案内されています。修正版がない版では、ベンダーが推奨するようにプロビジョニング後にNode.jsウェブサービスを無効にしてください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| VersaVOS |
21.1.1 – 21.2.3→ Not listed ≥ 22.1.2, < July 2, 2026→ July 2, 2026 ≥ 22.1.3, < July 2, 2026→ July 2, 2026 ≥ 22.1.4, < July 2, 2026→ July 2, 2026 ≥ 23.1.2, < Aug 3, 2026→ Aug 3, 2026 |
Not listed July 2, 2026 July 2, 2026 July 2, 2026 Aug 3, 2026 |
Original description The description as published by the source.
The Node.js web service on VOS (previously Versa FlexVNF) is used for URL-based Zero Touch Provisioning (ZTP) of the VOS appliance and is not required after provisioning is complete. This service authenticates users and administrators to its web interface during initial provisioning using default credentials and HTTP Basic Authentication. An attacker with network access who knows the default credentials could authenticate to the service and perform provisioning actions on the VOS appliance.
Versa’s security hardening guide for Hubs, Branches, and Controllers recommends disabling the Node.js web service after the initial provisioning of the VOS device. This vulnerability is not exploitable on VOS devices where the Node.js web service has been disabled.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web support@hackerone.com
- web nvd.nist.gov
- web github.com