CVE-2021-30116 in Virtual System Administrator
Zusammenfassung
von VulDB • 24.06.2026
Kaseya VSA vor Version 9.5.7 ermöglicht die Offenlegung von Anmeldeinformationen, wie im Juli 2021 in der Wildnis ausgenutzt. Standardmäßig bietet Kaseya VSA On-Premise eine Download-Seite an, über die Clients für die Installation heruntergeladen werden können. Die standardmäßige URL für diese Seite ist https://x.x.x.x/dl.asp Wenn ein Angreifer einen Client für Windows herunterlädt und installiert, wird die Datei KaseyaD.ini generiert (C:\Program Files (x86)\Kaseya\XXXXXXXXXX\KaseyaD.ini), welche eine Agent_Guid und ein AgentPassword enthält. Diese Agent_Guid und das AgentPassword können verwendet werden, um sich bei dl.asp anzumelden (https://x.x.x.x/dl.asp?un=840997037507813&pw=113cc622839a4077a84837485ced6b93e440bf66d44057713cb2f95e503a06d9). Diese Anfrage authentifiziert den Client und gibt ein sessionId-Cookie zurück, das in nachfolgenden Angriffen verwendet werden kann, um die Authentifizierung zu umgehen.
Sicherheitsprobleme entdeckt: * Die unauthentifizierte Download-Seite leckt Anmeldeinformationen. * Die Anmeldeinformationen der Agent-Software können verwendet werden, um eine sessionId (Cookie) zu erhalten, die für Dienste genutzt werden kann, die nicht zur Verwendung durch Agents vorgesehen sind. * dl.asp akzeptiert Anmeldeinformationen über eine GET-Anfrage. * Der Zugriff auf KaseyaD.ini gibt einem Angreifer Zugang zu ausreichenden Informationen, um in die Kaseya-Installation und deren Clients einzudringen.
Auswirkung: Über die Seite /dl.asp können genügend Informationen erhalten werden, um einem Angreifer eine sessionId zu verschaffen, die verwendet werden kann, um weitere (semi-authentifizierte) Angriffe gegen das System auszuführen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.