CVE-2021-30116 in Virtual System Administrator
Riassunto
di VulDB • 16/06/2026
Kaseya VSA prima della versione 9.5.7 consente la divulgazione delle credenziali, come sfruttato in ambienti reali nel luglio 2021. Di default, Kaseya VSA on-premise offre una pagina di download da cui è possibile scaricare i client per l'installazione. L'URL predefinito per questa pagina è https://x.x.x.x/dl.asp Quando un attaccante scarica e installa un client per Windows, viene generato il file KaseyaD.ini (C:\Program Files (x86)\Kaseya\XXXXXXXXXX\KaseyaD.ini) che contiene un Agent_Guid e una AgentPassword. Questi valori possono essere utilizzati per accedere a dl.asp (https://x.x.x.x/dl.asp?un=840997037507813&pw=113cc622839a4077a84837485ced6b93e440bf66d44057713cb2f95e503a06d9). Questa richiesta autentica il client e restituisce un cookie sessionId che può essere utilizzato negli attacchi successivi per bypassare l'autenticazione. Problemi di sicurezza scoperti --- * La pagina di download non autenticata perde le credenziali * Le credenziali del software agent possono essere utilizzate per ottenere un sessionId (cookie) utilizzabile per servizi non destinati all'uso da parte degli agenti * dl.asp accetta le credenziali tramite una richiesta GET * L'accesso a KaseyaD.ini fornisce all'attaccante informazioni sufficienti per penetrare l'installazione di Kaseya e i suoi client. Impatto --- Tramite la pagina /dl.asp è possibile ottenere abbastanza informazioni da fornire all'attaccante un sessionId che può essere utilizzato per eseguire ulteriori attacchi (semi-autenticati) contro il sistema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.