CVE-2024-45229

Versa Director (versões afetadas não especificadas)

O problema está relacionado à API REST no Versa Director, que é usada para orquestração e gerenciamento. Certas APIs, como a tela de login, exibição de banner e registro de dispositivos, não exigem autenticação. No entanto, descobriu-se que, para Directors conectados diretamente à Internet, uma dessas APIs pode ser explorada pela injeção de argumentos inválidos em uma solicitação GET, expondo potencialmente os tokens de autenticação de outros usuários atualmente conectados. Esses tokens podem então ser usados para invocar APIs adicionais na porta 9183. A exploração não divulga nenhuma informação de nome de usuário ou senha. Os pontos de extremidade da API vulneráveis incluem “/vnms/devicereg/device/” (nas portas 9182 e 9183) e “/versa/vnms/devicereg/device/” (na porta 443).

Como solução temporária, considere usar um Web Application Firewall (WAF) ou um API Gateway para bloquear o acesso às URLs da API vulnerável.

Atualize para uma versão corrigida do software para resolver totalmente o problema.

Restrinja o acesso aos pontos de extremidade da API vulnerável para minimizar o risco de exploração.

Entre em contato com o Suporte Técnico da Versa ou com a equipe de contas da Versa para obter mais assistência.