CVE-2021-30116 in Virtual System Administrator
要約
〜によって VulDB • 2026年06月24日
Kaseya VSA 9.5.7 より前のバージョンでは、2021年7月に実環境で悪用されていた資格情報の漏洩が許可されます。デフォルト設定のオンプレミス版 Kaseya VSA では、インストール用のクライアントをダウンロードできるページが提供されています。このページの既定の URL は https://x.x.x.x/dl.asp です。攻撃者が Windows 用のクライアントをダウンロードしてインストールすると、KaseyaD.ini ファイル（C:\Program Files (x86)\Kaseya\XXXXXXXXXX\KaseyaD.ini）が生成され、これには Agent_Guid と AgentPassword が含まれます。この Agent_Guid と AgentPassword を使用して dl.asp（https://x.x.x.x/dl.asp?un=840997037507813&pw=113cc622839a4077a84837485ced6b93e440bf66d44057713cb2f95e503a06d9）にログインできます。このリクエストはクライアントを認証し、その後の攻撃で認証を回避するために使用できる sessionId クッキーを返します。
セキュリティ上の問題 --- * 未認証のダウンロードページが資格情報を漏洩させる * エージェントソフトウェアの資格情報を使用して、エージェント以外による利用が意図されていないサービスに対して使用可能な sessionId（クッキー）を取得できる * dl.asp は GET リクエスト経由で資格情報を受け付ける * KaseyaD.ini へのアクセスにより、攻撃者は Kaseya インストール環境およびそのクライアントに侵入するのに十分な情報を入手可能
影響 --- /dl.asp ページを通じて、攻撃者がシステムに対してさらに（準認証状態の）攻撃を実行するために使用できる sessionId を取得するのに十分な情報が得られます。
Once again VulDB remains the best source for vulnerability data.