VOS（旧Versa FlexVNF）にハードコードされた秘密鍵の脆弱性、セッションを偽造される恐れ
Summary
VOSのNode.jsウェブサービスに、全VOS機器で共通のセッション署名用の秘密鍵が埋め込まれており、セッションCookieを偽造される恐れがあります。CVSSは7.6です。影響する版は21.1.1から21.2.3、22.1.2から22.1.4（2026年7月2日より前）、23.1.2（2026年8月3日より前）です。修正版は2026年7月2日版と8月3日版が公開されています。Node.jsウェブサービスは初期設定後に無効化できるため、無効化すると影響を受けないとされています。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
VOSのNode.jsウェブサービスに、全VOS機器で共通のセッション署名用の秘密鍵が埋め込まれており、セッションCookieを偽造される恐れがあります。CVSSは7.6です。影響する版は21.1.1から21.2.3、22.1.2から22.1.4（2026年7月2日より前）、23.1.2（2026年8月3日より前）です。修正版は2026年7月2日版と8月3日版が公開されています。Node.jsウェブサービスは初期設定後に無効化できるため、無効化すると影響を受けないとされています。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| VersaVOS |
21.1.1 – 21.2.3→ Not listed ≥ 22.1.2, < July 2, 2026→ July 2, 2026 ≥ 22.1.3, < July 2, 2026→ July 2, 2026 ≥ 22.1.4, < July 2, 2026→ July 2, 2026 ≥ 23.1.2, < Aug 3, 2026→ Aug 3, 2026 |
Not listed July 2, 2026 July 2, 2026 July 2, 2026 Aug 3, 2026 |
Original description The description as published by the source.
The Node.js web service on VOS (previously Versa FlexVNF) is used for URL-based Zero Touch Provisioning (ZTP) of the VOS appliance and is not required after provisioning is complete. The express-session middleware in server.js is configured with a hardcoded secret that is identical across all VOS appliances and is used to sign session cookies. An attacker who obtains a valid session ID from any source can compute the correct HMAC-SHA256 signature and forge a session cookie that the server accepts as legitimate. Because the secret is shared across all VOS appliances, a forged cookie is accepted by any VOS appliance in the deployment.
Versa’s security hardening guide for Hubs, Branches, and Controllers recommends disabling the Node.js web service after the initial provisioning of the VOS device. This vulnerability is not exploitable on VOS devices where the Node.js web service has been disabled.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web support@hackerone.com
- web nvd.nist.gov
- web github.com