🇰🇷 한글 설명
VOS(이전 Versa FlexVNF)의 URL 기반 ZTP용 Node.js 웹 서비스가 server.js의 express-session 미들웨어에 모든 VOS 장비가 동일하게 사용하는 하드코딩된 시크릿으로 세션 쿠키를 서명합니다. 공격자가 유효한 세션 ID를 확보하면 HMAC-SHA256 서명을 계산해 위조 쿠키를 만들 수 있고, 이 쿠키는 배포 내 모든 VOS 장비에서 수락됩니다. 프로비저닝 완료 후 Node.js 웹 서비스를 비활성화하면 이 취약점은 악용되지 않습니다.
💡 쉬운 설명
네트워크 장비의 설정 웹 서비스가 모든 장비에 같은 비밀 열쇠로 로그인 증표를 만들고 있습니다. 이 열쇠를 아는 공격자는 가짜 로그인 증표를 만들어 여러 장비에 접속할 수 있습니다.
🇺🇸 원문 (English)
The Node.js web service on VOS (previously Versa FlexVNF) is used for URL-based Zero Touch Provisioning (ZTP) of the VOS appliance and is not required after provisioning is complete. The express-session middleware in server.js is configured with a hardcoded secret that is identical across all VOS appliances and is used to sign session cookies. An attacker who obtains a valid session ID from any source can compute the correct HMAC-SHA256 signature and forge a session cookie that the server accepts as legitimate. Because the secret is shared across all VOS appliances, a forged cookie is accepted by any VOS appliance in the deployment.
Versa’s security hardening guide for Hubs, Branches, and Controllers recommends disabling the Node.js web service after the initial provisioning of the VOS device. This vulnerability is not exploitable on VOS devices where the Node.js web service has been disabled.
📍 영향받는 시스템
Versa VOS(이전 Versa FlexVNF) Hub, Branch, Controller 장비 중 Node.js 웹 서비스가 활성화된 버전 (정확한 버전 범위는 벤더 공지 확인 필요)
⚔️ 공격 벡터
유효한 세션 ID를 획득한 공격자가 하드코딩된 공유 시크릿으로 HMAC-SHA256 서명을 계산해 위조 세션 쿠키를 만들어 인증을 우회함
🛡️ 대응 방법
프로비저닝 완료 후 VOS의 Node.js 웹 서비스를 비활성화하고, Versa 벤더의 최신 패치 및 보안 강화 가이드를 적용
🔧 검증 코드
서비스가 active(running)이거나 server.js 프로세스가 출력되면 Node.js 웹 서비스가 활성 상태이므로 취약할 가능성이 있으며, 비활성화되었거나 결과가 없으면 악용 경로가 차단된 것으로 판단합니다. 서비스 이름은 장비 환경에 따라 다를 수 있습니다.
systemctl status vos-node 2>/dev/null; ps -ef | grep -i '[n]ode.*server.js' 2>/dev/null