プラットフォーム
other
コンポーネント
cloudvision-portal
修正版
2024.2.2
2024.3.1
Arista CloudVision PortalにおけるCVE-2025-0505は、Zero Touch Provisioning機能の脆弱性により、攻撃者が管理者権限を昇格させ、システム状態を不正に操作できる可能性があります。この脆弱性は、CloudVision Portalのバージョン2024.2.0から2024.3.0に影響を与えます。Aristaはバージョン2024.3.1でこの問題を修正しました。
この脆弱性を悪用されると、攻撃者はCloudVision Portalシステム上で管理者権限を取得し、管理対象デバイスの状態を自由にクエリまたは操作できるようになります。これにより、ネットワーク構成の変更、機密データの窃取、さらにはネットワーク全体の制御権奪取といった深刻な被害が発生する可能性があります。特に、Zero Touch Provisioningを積極的に利用している環境では、攻撃の影響範囲が広がるリスクがあります。類似の脆弱性は、ネットワーク管理システムの不正アクセスによる広範な被害に繋がる事例で確認されています。
本脆弱性は、2025年5月8日に公開されました。現時点では、KEVリストに登録されていません。公的なPoCは確認されていませんが、権限昇格の可能性から、悪用されるリスクは高いと考えられます。Aristaからの公式アドバイズリーを必ず確認し、迅速な対応を講じる必要があります。
Organizations utilizing on-premise deployments of Arista CloudVision Portal, particularly those relying heavily on Zero Touch Provisioning for device management, are at significant risk. Legacy configurations with overly permissive ZTP access controls are especially vulnerable. Shared hosting environments where multiple tenants share a CloudVision Portal instance should also be considered at risk.
disclosure
エクスプロイト状況
EPSS
0.30% (53% パーセンタイル)
CISA SSVC
CVSS ベクトル
Aristaはバージョン2024.3.1へのアップデートを推奨しています。アップデートが困難な場合は、Zero Touch Provisioning機能を一時的に無効化することを検討してください。また、CloudVision Portalへのアクセスを厳格に制限し、不要な権限を持つユーザーアカウントを削除することで、攻撃のリスクを軽減できます。WAFやIPSなどのセキュリティ対策を導入し、不正なアクセスを検知・遮断することも有効です。アップデート後、システムログを確認し、不審なアクティビティがないか確認してください。
CloudVision Portalを2024.3.0より後のバージョンにアップデートしてください。詳細な修正バージョンとアップデート手順については、Aristaのセキュリティアドバイザリを参照してください。これにより、不正な管理者権限を取得できるZero Touch Provisioningの脆弱性が緩和されます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-0505は、Arista CloudVision PortalのZero Touch Provisioning機能における権限昇格の脆弱性です。攻撃者はこの脆弱性を悪用して管理者権限を取得し、システム状態を操作できる可能性があります。
Arista CloudVision Portalのバージョン2024.2.0から2024.3.0を使用している場合は影響があります。CloudVision as-a-Serviceは影響を受けません。
バージョン2024.3.1へのアップデートを推奨します。アップデートが困難な場合は、Zero Touch Provisioning機能を一時的に無効化してください。
現時点では公的なPoCは確認されていませんが、権限昇格の可能性から、悪用されるリスクは高いと考えられます。
Aristaの公式アドバイザリーは、Aristaのサポートサイトで確認できます。