Versa VOSにセッション乗っ取りの脆弱性、修正版あり
Versa VOSのZTP用Node.jsサービスが予測されやすいセッションIDを発行し、他人のセッションを乗っ取られるおそれがあります。該当版を使う組織は、このサービスが有効かを確認し、修正版の適用か無効化を進めてください。
急ぎ度: 早めに
CVSS v3は9.1でネットワークから認証なしに狙える評価ですが、EPSSは0.15%（4パーセンタイル）と低く、対象はNode.js Webサービスが有効な機器に限られ、22.1系と23.1.2には修正版があります。
関係があるか
Versa VOS（旧Versa FlexVNF）の機器を拠点やハブ、コントローラーに使い、ZTP用のNode.js Webサービスが有効なままの組織が対象です。サービスを無効にしてある機器は、この脆弱性を悪用できません。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| VOS 21.1.1〜21.2.3 | 21.1.1から21.2.3まで | 修正版は確認できていません。ベンダーの告知で確認してください |
| VOS 22.1.2、22.1.3、22.1.4 | いずれもJuly 2, 2026より前のもの | 22.1.2 July-2-2026-Hotfix、22.1.3 July-2-2026-Hotfix、22.1.4 July-2-2026-Hotfix |
| VOS 23.1.2 | Aug 3, 2026より前のもの | 23.1.2 Aug-3-2026-Hotfix |
確かめ方
- 1VOSを動かしている機器（ハブ、拠点、コントローラー）を洗い出し、機器ごとに稼働中の版を確認する。
- 2版が上の表に当てはまる機器では、ZTP用のNode.js Webサービスが有効か無効かを確認する。確認の手順は、ベンダーのセキュリティ強化ガイドで確かめる。
- 322.1系と23.1.2では、各Hotfixが適用済みかも合わせて確認する。
何が起きたか
Versa VOSで、ZTP用のNode.js Webサービスが推測されやすいセッションIDを発行します。IDを言い当てられると、ほかの利用者のセッションを乗っ取られます。
このサービスは、URLを使ってVOS機器の初期設定を自動で進めるためのもので、設定が終われば不要になります。セッションIDにはUUID version 1が使われています。UUIDv1はシステムの日時とMACアドレスから作られるため、続けて発行されたIDの差はわずかです。分類はCWE-340（予測可能な数値や識別子の生成）です。
CVEは2026年11月10日に公表されました。
攻撃の流れ
-
1
サービスが有効
初期設定が終わった後も、ZTP用のNode.js Webサービスが動いたままになっている。
-
2
IDが似通う
セッションIDが日時とMACアドレスから作られ、連続するIDの差がわずかになる。
-
3
IDを推測
攻撃者が、利用者に割り当てられたセッションIDを推測する。
-
4
セッション乗っ取り
推測したIDで、その利用者のセッションを自分のものとして使われる。
どう悪用されるか
ネットワーク経由で、認証なし・利用者の操作なしに試みられる前提です。CVSSのベクターはAV:N/AC:L/PR:N/UI:Nで、攻撃の難易度は低いと評価されています。ただし対象は、ZTP用のNode.js Webサービスが有効な機器だけです。
成功すると、ほかの利用者のセッションを乗っ取られます。CVSSでは機密性と可用性への影響が高、完全性への影響はなしとされています。
今すぐやること
-
1
対象機器と版を洗い出す
VOS機器の一覧を作り、版が該当するかを確認します。21.1.1〜21.2.3を使っている場合は、先にベンダーの告知で修正版の有無を確かめてください。
-
2
Node.js Webサービスを無効にする
初期設定が済んだ機器では、ベンダーのセキュリティ強化ガイドどおりにサービスを無効にします。無効な機器ではこの脆弱性を悪用できないので、最も早く効く対処です。
-
3
修正版（Hotfix）を適用する
22.1.2、22.1.3、22.1.4は各July-2-2026-Hotfix、23.1.2はAug-3-2026-Hotfixに更新します。更新は、サービスを止められない機器、これから新規展開する機器、再び有効にする可能性のある機器から進めます。
-
4
ベンダーの告知を確認する
Versaのセキュリティ告知で、21.x系を含む対象版と修正版の最新の案内を確認します。
すぐ更新できないとき
Node.js Webサービスを無効にすると、この脆弱性は悪用できなくなります。ZTPの途中などで止められない機器は、修正版を適用するまで、サービスに届くネットワークの範囲を必要な管理元だけに絞っておくと、リスクを下げられます。
背景
VOSはVersaのネットワーク機器向けOSで、旧名称はVersa FlexVNFです。ベンダーのセキュリティ強化ガイドがハブ、拠点（Branch）、コントローラーを挙げているとおり、拠点網を構成する機器の土台として動きます。問題のZTPは、拠点に置いた機器がURLを通じて設定を自動で受け取る仕組みで、展開の手間を減らします。
今回の原因は、セッションIDに日時とMACアドレスから作るUUIDv1を使ったことです。UUIDv1は一意性を保つための形式で、推測されない値を求める用途には向きません。セッションIDのように推測されると困る値は、暗号学的に安全な乱数で作るのが一般的な設計です。展開時にしか使わないサービスが運用中も動き続けると、攻撃面だけが残ります。
よくある質問
Q.Node.js Webサービスを無効にしてあれば、修正版は不要ですか。
まだ分かっていないこと
- 乗っ取られたセッションで具体的に何ができるのか、どの種類の情報が読めるのかは公表されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| VersaVOS |
21.1.1 〜 21.2.3→ 記載なし 22.1.2 以上 July 2, 2026 未満→ July 2, 2026 22.1.3 以上 July 2, 2026 未満→ July 2, 2026 22.1.4 以上 July 2, 2026 未満→ July 2, 2026 23.1.2 以上 Aug 3, 2026 未満→ Aug 3, 2026 |
記載なし July 2, 2026 July 2, 2026 July 2, 2026 Aug 3, 2026 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Node.js web service on VOS (previously Versa FlexVNF) is used for URL-based Zero Touch Provisioning (ZTP) of the VOS appliance and is not required after provisioning is complete. This service generates session identifiers using UUID version 1 (UUIDv1), which is derived from the system’s date and time and its MAC address. As a result, successive identifiers differ only slightly and can be predicted. An attacker who can predict a user’s session ID could hijack that user’s session.
Versa’s security hardening guide for Hubs, Branches, and Controllers recommends disabling the Node.js web service after the initial provisioning of the VOS device. This vulnerability is not exploitable on VOS devices where the Node.js web service has been disabled.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web support@hackerone.com
- web nvd.nist.gov
- web github.com