Cette vulnérabilité a reçu le score CVSS maximal de 10, soulignant sa gravité critique. Il s’agit d’une vulnérabilité d’accès non authentifié, ce qui augmente considérablement le risque d’exploitation. Versa Director, étant une cible de grande valeur, a déjà été exploité par le passé par des acteurs malveillants.

Produit	Versa Director
Date	25/11/2024 16:31:23
Informations	Tendance Correctif disponible

Résumé technique

Versa Director utilise PostgreSQL (Postgres) pour stocker les données opérationnelles et de configuration, ainsi que pour activer les fonctionnalités de haute disponibilité (HA). Cependant, la configuration par défaut de Versa Director inclut un mot de passe partagé entre toutes les instances et configure Postgres pour écouter sur toutes les interfaces réseau.

Cela crée une vulnérabilité grave où un attaquant non authentifié pourrait :

• Accéder à la base de données et l’administrer ;
• Lire le contenu du système de fichiers local ;
• Élever ses privilèges sur le système.

Recommandations

À partir de la version la plus récente 22.1.4 de Versa Director, le logiciel limitera automatiquement l’accès aux ports Postgres et HA aux seuls Versa Director locaux et pairs. Pour les versions antérieures, Versa recommande d’effectuer un durcissement (hardening) manuel des ports HA. Veuillez vous référer au lien suivant pour les étapes à suivre : SecureHAPorts.

[Callforaction-THREAT-Footer]