Versa Concerto の Traefik 設定不備で管理エンドポイントに未認証到達（悪用確認済み）

High（CVSS 7.5）に分類されるVersa Networks Versa Concertoの脆弱性です。SD-WAN のオーケストレーション基盤 Versa Concerto に認証バイパスがある。原因は前段のリバースプロキシ Traefik の設定で、本来内部向けの管理エンドポイントへ外部から到達できてしまう。到達できる先には Spring Boot の Actuator エンドポイントが含まれ、そこからヒープダンプやトレースログを取得できる。ヒープダンプにはメモリ上の認証トークンや資格情報が含まれるため、読み取りだけの欠陥に見えて、実際には管理権限の奪取につながる踏み台になる。NVD の記述は影響が Concerto 12.1.2 から 12.2.0 に及ぶと述べ、それ以外の版も脆弱な可能性があると付記している。NVD の CPE 範囲は 11.4.0 以上 12.1.2 未満、および 12.1.2 と 12.2.0 を対象としている。CVSS は評価元で分かれており、NVD（Primary）は CVSS 3.1 で 7.5 High（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）、CNA の VulnCheck は CVSS 4.0 で 9.2 Critical（AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:L/SA:N）としている。CNA は後続システムへの波及（SC:H/SI:L）を評価に含めており、SD-WAN オーケストレータという位置を踏まえた重みづけになっている。NVD の vulnStatus は Analyzed。CISA KEV には 2026-01-22 に収載され、是正期限は 2026-02-12。ランサムウェア利用は Unknown（不明）。

Concerto は SD-WAN の集中管理を担うため、ここが落ちると配下のネットワーク機器の設定変更まで到達され得る。判定はまず版の確認で、12.1.2 から 12.2.0（および 11.4.0 以上 12.1.2 未満）に該当するかを見る。NVD が「追加の版も脆弱な可能性がある」と明記しているため、範囲外でも安全とは断定せず、ベンダーのセキュリティポータルの公報（security-portal.versa-networks.com の該当ブリテン）で自分の版が対象かを確認するのが正しい。次に到達性の確認で、Concerto の管理系ポートがインターネットや広い管理ネットワークから見えていないかを、前段のロードバランサ・ファイアウォール規則で洗う。Actuator への到達をテストするなら自分の管理下の機器に対してのみ行う。対応はベンダーのブリテンに従った更新である。更新までの緩和として、前段のプロキシやファイアウォールで管理用パス（Actuator を含む内部エンドポイント）への外部アクセスを拒否する方法が取れる。この CVE は Traefik の設定に起因するため、経路側で塞ぐ緩和が構造的に効きやすい。ただし KEV 収載＝実際に悪用されているため、更新と経路封鎖で終わりにはならない。ヒープダンプを取得された前提で、Concerto に保存されていた管理者資格情報・API トークン・配下機器への接続情報をすべて再発行し、Concerto の監査ログで想定外の設定変更（テンプレート・ポリシーの変更、デバイスの追加）が無いかを確認する。SD-WAN の設定が書き換えられていた場合の影響はネットワーク全体に及ぶので、構成のバックアップと現行構成の差分確認まで行うのが望ましい。完了条件は、（1）ベンダー公報に沿った更新、（2）管理エンドポイントの外部到達を封鎖、（3）資格情報の再発行と構成差分の確認が済んでいること。KEV 是正期限 2026-02-12 は経過している。

Versa Networks Versa Concerto を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-34026）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/12 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。