Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-288

CVE-2025-34026

Versa Concerto'da Traefik yapılandırmasından kaynaklanan kimlik doğrulama atlatma açığı

Versa Concerto

Kritik 9,2 CVSS 4.0
Yayımlandı
Güncellendi
23 Oca 2026
Açık yaşı
524 gün
Kaydı açan
VulnCheck
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 22 Oca 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 12 Şub 2026.

Yönetici özeti

Etkilenen Versa Concerto sistemlerine internet üzerinden şifresiz erişilebiliyor ve açığın aktif olarak istismar edildiği bildiriliyor. Saldırganlar ağ yönetim platformundaki hassas verilere ulaşabilir, bu da kurumun ağ altyapısını riske atar. Acil müdahale gereklidir.

ÖzetTürkçe

Versa Concerto SD-WAN orkestrasyon platformunda, Traefik ters vekil sunucu yapılandırmasındaki bir hata kimlik doğrulamanın atlatılmasına ve yönetim uç noktalarına erişilmesine yol açıyor. Bu sayede dahili Actuator uç noktası üzerinden heap dökümlerine ve izleme (trace) günlüklerine ulaşılabiliyor. Açık, Concerto 12.1.2 ile 12.2.0 arasındaki sürümleri etkiliyor; başka sürümlerin de etkilenmiş olması mümkün. Zafiyet CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Kimlik doğrulaması olmayan uzak bir saldırgan yönetim uç noktalarına erişerek heap dökümlerini ve günlükleri okuyabilir. Bu veriler gizli bilgiler ve oturum bilgileri içerebilir.

Kaynaktaki açıklama (İngilizce)

The Versa Concerto SD-WAN orchestration platform is vulnerable to an authentication bypass in the Traefik reverse proxy configuration, allowing at attacker to access administrative endpoints. The internal Actuator endpoint can be leveraged for access to heap dumps and trace logs.This issue is known to affect Concerto from 12.1.2 through 12.2.0. Additional versions may be vulnerable.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Versa'nın güvenlik portalındaki yönergeleri inceleyin ve satıcının önerdiği düzeltme veya hafifletme adımlarını gecikmeden uygulayın. Genel öneri
  2. CISA KEV gereği: Satıcı talimatlarına göre hafifletmeleri uygulayın, bulut hizmetleri için geçerli BOD 22-01 rehberliğini izleyin; hafifletme yoksa ürünün kullanımını durdurun. CISA
  3. Düzeltme uygulanana kadar Concerto yönetim arayüzüne ve Actuator uç noktalarına internetten erişimi güvenlik duvarı veya erişim listeleriyle engelleyin. Genel öneri
  4. Sistemin daha önce istismar edilmiş olabileceğini varsayarak heap dökümlerinde veya günlüklerde yer alabilecek parolaları, anahtarları ve belirteçleri yenileyin. Genel öneri

Ek önlemler

  • Yönetim ve orkestrasyon platformlarını doğrudan internete açmayın; yalnızca VPN veya güvenilir yönetim ağı üzerinden erişilebilir kılın. Genel öneri
  • Ters vekil sunucu önünde Actuator gibi dahili uç noktalara yönelik olağandışı isteklere karşı web ve erişim günlüklerini izleyin. Genel öneri
  • Yetkisiz erişim şüphesi için Concerto sunucusundan çıkan olağandışı ağ trafiğini ve yönetim hesabı etkinliklerini gözden geçirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Versa Concerto ≥ 12.1.2, ≤ 12.2.0 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.