Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-522

CVE-2021-30116

Kaseya VSA'da kimlik doğrulamasız kimlik bilgisi sızıntısı ve oturum atlatma

kaseya Vsa Agentkaseya Vsa Server

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
14 Ağu 2026
Açık yaşı
1937 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 17 Kas 2021. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Bu açık, saldırganların şifre bilmeden Kaseya yönetim sistemine oturum açmasına izin veriyor ve gerçek saldırılarda zaten kullanıldı. Sistem ele geçirilirse bu yazılımla yönetilen tüm bilgisayarlar risk altına girebilir. Güncelleme acilen yapılmalıdır.

ÖzetTürkçe

Kaseya VSA'nın 9.5.7 öncesi sürümlerinde, şirket içi kurulumlarda varsayılan olarak açık olan istemci indirme sayfası (dl.asp) kimlik doğrulaması olmadan erişilebilir durumdadır. Saldırgan bir Windows istemcisi indirip kurduğunda oluşan KaseyaD.ini dosyasından Agent_Guid ve AgentPassword değerlerini elde edebilir. Bu bilgilerle dl.asp'ye GET isteği gönderip geçerli bir sessionId çerezi alabilir ve bu çerezi ajanlar için tasarlanmamış hizmetlerde kullanabilir. Açıklık Temmuz 2021'de gerçek saldırılarda kullanılmıştır ve CISA KEV listesinde yer almaktadır.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulamasını atlayarak geçerli bir oturum elde edebilir ve Kaseya kurulumuna ile yönettiği istemcilere karşı ileri saldırılar düzenleyebilir. Bu durum sistemin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Kaseya VSA before 9.5.7 allows credential disclosure, as exploited in the wild in July 2021. By default Kaseya VSA on premise offers a download page where the clients for the installation can be downloaded. The default URL for this page is https://x.x.x.x/dl.asp When an attacker download a client for Windows and installs it, the file KaseyaD.ini is generated (C:\Program Files (x86)\Kaseya\XXXXXXXXXX\KaseyaD.ini) which contains an Agent_Guid and AgentPassword This Agent_Guid and AgentPassword can be used to log in on dl.asp (https://x.x.x.x/dl.asp?un=840997037507813&pw=113cc622839a4077a84837485ced6b93e440bf66d44057713cb2f95e503a06d9) This request authenticates the client and returns a sessionId cookie that can be used in subsequent attacks to bypass authentication. Security issues discovered --- * Unauthenticated download page leaks credentials * Credentials of agent software can be used to obtain a sessionId (cookie) that can be used for services not intended for use by agents * dl.asp accepts credentials via a GET request * Access to KaseyaD.ini gives an attacker access to sufficient information to penetrate the Kaseya installation and its clients. Impact --- Via the page /dl.asp enough information can be obtained to give an attacker a sessionId that can be used to execute further (semi-authenticated) attacks against the system.

Üreticinin çözüm notu (İngilizce)

Upgrade to a version after 9.5.6

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Kaseya VSA'yı 9.5.6 sonrasındaki bir sürüme (9.5.7 veya üzeri) yükseltin. Üretici
  2. Üreticinin yönergelerine uygun şekilde güncellemeleri uygulayın. CISA
  3. Güncelleme yapılana kadar VSA sunucusunun internetten erişimini kısıtlayın veya dl.asp sayfasına dışarıdan erişimi engelleyin. Genel öneri

Ek önlemler

  • VSA sunucusunu doğrudan internete açmayın; erişimi VPN veya IP izin listesiyle sınırlayın. Genel öneri
  • Sunucu günlüklerinde dl.asp'ye yapılan olağan dışı istekleri ve beklenmedik oturum açma etkinliklerini inceleyin. Genel öneri
  • Sistemin ele geçirilmiş olabileceği düşünülüyorsa ajan kimlik bilgilerini ve yönetici parolalarını yenileyin, yönetilen istemcilerde izinsiz değişiklik olup olmadığını kontrol edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
kaseya Vsa Agent < 9.5.0.24 9.5.0.24
kaseya Vsa Server < 9.5.7a 9.5.7a

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  3. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.