Aktywnie wykorzystywana w atakach
Kaseya VSA SQL Injection Vulnerability
Kaseya - Virtual System/Server Administrator (VSA) · Figuruje w katalogu CISA KEV od 2022-05-24. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: The impacted product is end-of-life and should be disconnected if still in use.
CVE-2017-18362
KrytyczneCVSS 9.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Integracja ConnectWise ManagedITSync do 2017 dla Kaseya VSA jest podatna na nieuwierzytelnione zdalne polecenia, które umożliwiają pełny bezpośredni dostęp do bazy danych Kaseya VSA. W lutym 2019 atakujący aktywnie wykorzystywali tę podatność do pobierania i wykonywania oprogramowania ransomware na wszystkich punktach końcowych zarządzanych przez serwer VSA. Jeśli strona ManagedIT.asmx jest dostępna przez interfejs webowy Kaseya VSA, każdy z dostępem może wykonywać dowolne zapytania SQL, zarówno odczyt, jak i zapis, bez uwierzytelnienia.
Ocena ryzyka
Atakujący bez uwierzytelnienia może uzyskać pełny dostęp do bazy danych VSA, co może prowadzić do kradzieży danych, modyfikacji konfiguracji i rozprzestrzeniania ransomware na wszystkich zarządzanych urządzeniach.
Rekomendacja
Natychmiast wyłącz lub zabezpiecz dostęp do strony ManagedIT.asmx, zastosuj poprawki od producenta i sprawdź systemy pod kątem infekcji ransomware.
Oryginalny opis (angielski, źródło NVD)
ConnectWise ManagedITSync integration through 2017 for Kaseya VSA is vulnerable to unauthenticated remote commands that allow full direct access to the Kaseya VSA database. In February 2019, attackers have actively exploited this in the wild to download and execute ransomware payloads on all endpoints managed by the VSA server. If the ManagedIT.asmx page is available via the Kaseya VSA web interface, anyone with access to the page is able to run arbitrary SQL queries, both read and write, without authentication.