Aktywnie wykorzystywana w atakach
Kaseya VSA SQL Injection Vulnerability
Kaseya - Virtual System/Server Administrator (VSA) · Figuruje w katalogu CISA KEV od 2022-05-24. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: The impacted product is end-of-life and should be disconnected if still in use.
CVE-2017-18362
KrytyczneCVSS 9.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Integracja ConnectWise ManagedITSync do 2017 dla Kaseya VSA jest podatna na nieuwierzytelnione zdalne polecenia, które umożliwiają pełny bezpośredni dostęp do bazy danych Kaseya VSA. W lutym 2019 atakujący aktywnie wykorzystywali tę podatność do pobierania i wykonywania oprogramowania ransomware na wszystkich punktach końcowych zarządzanych przez serwer VSA. Jeśli strona ManagedIT.asmx jest dostępna przez interfejs webowy Kaseya VSA, każdy z dostępem może wykonywać dowolne zapytania SQL, zarówno odczyt, jak i zapis, bez uwierzytelnienia.
Ocena ryzyka
Atakujący bez uwierzytelnienia może uzyskać pełny dostęp do bazy danych VSA, co może prowadzić do kradzieży danych, modyfikacji konfiguracji i rozprzestrzeniania ransomware na wszystkich zarządzanych urządzeniach.
Rekomendacja
Natychmiast wyłącz lub zabezpiecz dostęp do strony ManagedIT.asmx, zastosuj poprawki od producenta i sprawdź systemy pod kątem infekcji ransomware.
Inne podatności w Kaseya VSA
Zobacz wszystkie- CVE-2021-30120Krytyczne
Kaseya VSA przed wersją 9.5.7 pozwala atakującym na obejście wymogu uwierzytelniania dwuskładnikowego (2FA). Weryfikacja 2FA jest wymuszana po stronie klienta, a nie serwera, co można obejść za pomocą lokalnego proxy.
- CVE-2021-30116KrytyczneAktywnie exploitowane
Kaseya VSA przed wersją 9.5.7 umożliwia ujawnienie poświadczeń. Domyślna strona pobierania klientów (dl.asp) nie wymaga uwierzytelnienia i generuje plik KaseyaD.ini zawierający Agent_Guid i AgentPassword, które można wykorzystać do uzyskania sesji (sessionId) i obejścia uwierzytelnienia.
- CVE-2018-20753KrytyczneAktywnie exploitowane
Kaseya VSA RMM przed R9.3 9.3.0.35, R9.4 przed 9.4.0.36 i R9.5 przed 9.5.0.5 umożliwia nieuprzywilejowanym zdalnym atakującym wykonanie payloadów PowerShell na wszystkich zarządzanych urządzeniach. W styczniu 2018 atakujący aktywnie wykorzystywali tę podatność w środowisku produkcyjnym.
Oryginalny opis (angielski, źródło NVD)
ConnectWise ManagedITSync integration through 2017 for Kaseya VSA is vulnerable to unauthenticated remote commands that allow full direct access to the Kaseya VSA database. In February 2019, attackers have actively exploited this in the wild to download and execute ransomware payloads on all endpoints managed by the VSA server. If the ManagedIT.asmx page is available via the Kaseya VSA web interface, anyone with access to the page is able to run arbitrary SQL queries, both read and write, without authentication.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS