CVE-2025-34026
Versa Concerto Improper Authentication Vulnerability
Beschreibung
CVE-2025-34026 ist eine Authentifizierungs-Bypass-Schwachstelle in der Versa Concerto SD-WAN-Orchestrierungsplattform. Durch eine fehlerhafte Konfiguration des Traefik-Reverse-Proxys kann ein nicht authentifizierter Angreifer auf administrative Endpunkte zugreifen, darunter den internen Actuator-Endpunkt mit Zugriff auf Heap-Dumps und Trace-Logs. Mit einem CVSS-Score von 7.5 (HIGH) und einem EPSS-Score von 56,99 % (98,1. Perzentil) stellt diese Schwachstelle ein erhebliches Risiko fuer Unternehmen dar, die Versa Concerto einsetzen. Die CISA hat CVE-2025-34026 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 12. Februar 2026. Betroffen sind Concerto-Versionen 12.1.2 bis 12.2.0 sowie moeglicherweise aeltere Versionen ab 11.4.0.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| versa-networks | concerto | >= 11.4.0, < 12.1.2; 12.1.2; 12.2.0 |
Referenzen
- https://projectdiscovery.io/blog/versa-concerto-authentication-bypass-rce(Exploit, Mitigation, Third Party Advisory)
- https://security-portal.versa-networks.com/emailbulletins/6830f94328defa375486ff2e(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-34026(US Government Resource)
Schwachstellentyp
CWE-288: Authentication Bypass Using an Alternate Path or Channel
CWE-288 (Authentication Bypass Using an Alternate Path or Channel) beschreibt eine Schwachstellenklasse, bei der ein System zwar einen Authentifizierungsmechanismus implementiert, aber einen alternativen Zugangsweg nicht ausreichend schuetzt. Im Fall von CVE-2025-34026 schuetzt die Traefik-Reverse-Proxy-Konfiguration bestimmte administrative Endpunkte nicht korrekt, sodass ein Angreifer die Authentifizierung umgehen kann, indem er Anfragen ueber einen nicht geschuetzten Pfad an die Backend-Dienste sendet. Mehr erfahren
Auswirkungsanalyse
Zugriff auf vertrauliche Systemdaten ohne Authentifizierung: Die primaere Auswirkung ist der unautorisierte Zugriff auf den internen Actuator-Endpunkt, der sensible Diagnoseinformationen bereitstellt. Vertraulichkeit (C:H) ist maximal betroffen: Heap-Dumps koennen Passwoerter, API-Schluessel, Session-Tokens und andere sensible Daten im Klartext enthalten. Trace-Logs offenbaren interne Systemarchitektur, Kommunikationsmuster und moeglicherweise Benutzerdaten. Integritaet (I:N) ist nicht direkt betroffen, da die Schwachstelle primaer Lesezugriff ermoeglicht. Verfuegbarkeit (A:N) ist ebenfalls nicht direkt betroffen.
Eskalationspotenzial: Die aus Heap-Dumps und Trace-Logs extrahierten Informationen koennen als Sprungbrett fuer weitergehende Angriffe dienen. Zugangsdaten und Session-Tokens ermoeglichen den authentifizierten Zugang zum SD-WAN-Management und potenziell zu allen verwalteten Netzwerkgeraeten. Die Forscher von Project Discovery haben gezeigt, dass die Schwachstelle in Kombination mit anderen Befunden zur Remote Code Execution eskaliert werden kann: Project Discovery Blog.
EPSS und Ransomware: Der EPSS-Score von 56,99 % (98,1. Perzentil) zeigt eine extrem hohe Ausnutzungswahrscheinlichkeit. Der Ransomware-Status ist Unknown, aber die Kompromittierung einer SD-WAN-Orchestrierungsplattform koennte den Zugriff auf das gesamte Unternehmensnetzwerk ermoeglichen.
Exploit-Reifegrad
CVE-2025-34026 weist eine sehr hohe Exploit-Reife auf. Die Sicherheitsforscher von Project Discovery haben einen detaillierten technischen Bericht veroeffentlicht, der die Schwachstelle bis zur Remote Code Execution eskaliert: Project Discovery Blog. Die Aufnahme in den CISA KEV-Katalog bestaetigt die aktive Ausnutzung in freier Wildbahn.
EPSS-Kontext: Mit einem EPSS-Score von 56,99 % (98,1. Perzentil) gehoert CVE-2025-34026 zu den oberen 2 % der am wahrscheinlichsten ausgenutzten Schwachstellen. Die Verfuegbarkeit detaillierter Exploit-Informationen und die strategische Bedeutung von SD-WAN-Plattformen treiben diese hohe Bewertung.
Strategische Bedeutung: Versa Concerto ist eine SD-WAN-Orchestrierungsplattform, die in Unternehmensumgebungen zur zentralen Verwaltung von WAN-Infrastrukturen eingesetzt wird. Die Kompromittierung dieser Plattform kann weitreichende Auswirkungen auf die Netzwerksicherheit haben.
Ransomware-Verbindung: Der Ransomware-Status ist Unknown. SD-WAN-Plattformen sind jedoch attraktive Ziele, da sie den Zugang zu verteilten Unternehmensstandorten ermoeglichen.
Behebung
- Versa Concerto aktualisieren: Wenden Sie die von Versa Networks bereitgestellten Sicherheitspatches an. Konsultieren Sie das Versa Security Portal fuer versionsspezifische Update-Informationen und Patches fuer die betroffenen Versionen 12.1.2 bis 12.2.0.
- Zugriff auf Actuator-Endpunkte blockieren: Konfigurieren Sie als sofortige Massnahme Firewall-Regeln oder Reverse-Proxy-Konfigurationen, die den Zugriff auf die internen Actuator-Endpunkte (/actuator/heapdump, /actuator/trace etc.) von externen Netzwerken blockieren.
- Traefik-Konfiguration pruefen: Ueberpruefen Sie die Traefik-Reverse-Proxy-Konfiguration auf weitere fehlende Authentifizierungsregeln. Stellen Sie sicher, dass alle administrativen Endpunkte hinter einer ordnungsgemaessen Authentifizierung geschuetzt sind.
- Zugangsdaten rotieren: Aendern Sie alle Passwoerter, API-Schluessel und Zugangsdaten, die in Heap-Dumps oder Trace-Logs exponiert gewesen sein koennten. Dies umfasst Administratorpasswoerter fuer Concerto, verwaltete Netzwerkgeraete und angebundene Dienste.
- Netzwerkzugang einschraenken: Beschraenken Sie den Netzwerkzugang zur Concerto-Management-Oberflaeche auf vertrauenswuerdige IP-Adressen und dedizierte Management-Netzwerke. Implementieren Sie zusaetzlich eine Multi-Faktor-Authentifizierung fuer den administrativen Zugang.
Technische Details
Die Schwachstelle liegt in der Traefik-Reverse-Proxy-Konfiguration der Versa Concerto SD-WAN-Orchestrierungsplattform. Traefik fungiert als vorgeschalteter Reverse-Proxy, der eingehende Anfragen an die Backend-Dienste weiterleitet und dabei Authentifizierung und Zugriffskontrolle durchsetzen soll. Durch einen Konfigurationsfehler werden bestimmte Pfade, insbesondere die internen Spring Boot Actuator-Endpunkte, nicht durch die Authentifizierung geschuetzt.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N - Der Angriff erfolgt netzwerkbasiert (AV:N) mit niedriger Komplexitaet (AC:L), erfordert keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N). Nur die Vertraulichkeit ist maximal betroffen (C:H), waehrend Integritaet (I:N) und Verfuegbarkeit (A:N) nicht direkt beeintraechtigt werden.
Angriffsmechanismus: Der Angreifer sendet HTTP-Anfragen an den Concerto-Server, die die Traefik-Authentifizierung umgehen und direkt an die Backend-Dienste weitergeleitet werden. Insbesondere der /actuator/heapdump-Endpunkt liefert einen vollstaendigen Speicherabzug des Java-Prozesses, der Passwoerter, Session-Tokens und andere sensible Informationen im Klartext enthalten kann. Der /actuator/trace-Endpunkt offenbart HTTP-Request-Traces einschliesslich Authentifizierungsheader.
Betroffene Versionen: Die Schwachstelle ist in Concerto-Versionen 12.1.2 bis 12.2.0 bestaetigt. Aeltere Versionen ab 11.4.0 koennten ebenfalls betroffen sein, da die zugrundeliegende Proxy-Konfiguration moeglicherweise aeltere Urspruenge hat.
Häufig gestellte Fragen
Was ist der Actuator-Endpunkt und warum ist er gefaehrlich?
Spring Boot Actuator ist ein Diagnose-Framework, das Endpunkte wie /actuator/heapdump und /actuator/trace bereitstellt. Der Heapdump-Endpunkt liefert einen vollstaendigen Speicherabzug des laufenden Java-Prozesses, der Passwoerter, API-Schluessel und Session-Tokens im Klartext enthalten kann. Diese Endpunkte sollten niemals ohne Authentifizierung erreichbar sein.
Kann die Schwachstelle zu Remote Code Execution fuehren?
Die Schwachstelle selbst ermoeglicht primaer den Lesezugriff auf vertrauliche Daten. Die Forscher von Project Discovery haben jedoch gezeigt, dass die extrahierten Informationen in Kombination mit anderen Schwachstellen zur vollstaendigen Remote Code Execution eskaliert werden koennen. Das Update sollte daher mit hoechster Prioritaet eingespielt werden.
Sind aeltere Concerto-Versionen vor 12.1.2 ebenfalls betroffen?
Die Schwachstelle ist in den Versionen 12.1.2 bis 12.2.0 bestaetigt. Versa Networks gibt an, dass auch aeltere Versionen ab 11.4.0 betroffen sein koennten. Es wird empfohlen, alle Concerto-Installationen zu aktualisieren, unabhaengig von der genauen Versionsnummer.
Wie kann ich pruefen, ob meine Concerto-Instanz bereits kompromittiert wurde?
Pruefen Sie die Zugriffslogs des Reverse-Proxys und des Webservers auf Anfragen an Actuator-Endpunkte (insbesondere /actuator/heapdump) von unbekannten IP-Adressen. Falls solche Zugriffe identifiziert werden, muessen alle Zugangsdaten, die in Heap-Dumps exponiert worden sein koennten, sofort geaendert werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.