CVE-2015-6922

Atakujący może wysłać spreparowane żądanie HTTP do endpointu LocalAuth/setAccount.aspx w celu utworzenia nowego konta administratora — bez konieczności podania jakichkolwiek istniejących poświadczeń. Niezależnie od tego, drugi wektor ataku umożliwia przesłanie i wykonanie dowolnego pliku poprzez podanie pełnej ścieżki w parametrze PathData żądania kierowanego do ConfigTab/uploader.aspx. Oba wektory są dostępne zdalnie przez sieć bez interakcji użytkownika i bez uprzedniego uwierzytelnienia, co odpowiada klasyfikacji CWE-287 (niewłaściwe uwierzytelnienie).

Atakujący może uzyskać pełną kontrolę nad instancją Kaseya VSA poprzez dodanie konta administratora lub wykonanie dowolnego kodu na serwerze (RCE), co skutkuje całkowitą utratą poufności, integralności i dostępności systemu.

Należy zaktualizować Kaseya VSA do wersji 7.0.0.33 lub nowszej (dla gałęzi 7.x), 8.0.0.23 lub nowszej (dla gałęzi 8.x), 9.0.0.19 lub nowszej (dla gałęzi 9.0) albo 9.1.0.9 lub nowszej (dla gałęzi 9.1), zgodnie z komunikatem bezpieczeństwa producenta dostępnym w referencjach. Do czasu wdrożenia patcha zaleca się ograniczenie dostępu do interfejsu administracyjnego VSA wyłącznie do zaufanych adresów IP na poziomie firewall.

Kaseya Virtual System Administrator (VSA) w wersjach: 7.x przed 7.0.0.33, 8.x przed 8.0.0.23, 9.0 przed 9.0.0.19 oraz 9.1 przed 9.1.0.9

Dla tej podatności dostępny jest publiczny exploit w bazie Exploit-DB (numer 38351) oraz dwa oddzielne zgłoszenia w programie Zero Day Initiative (ZDI-15-448 i ZDI-15-449), co znacząco podnosi realność wykorzystania podatności w środowiskach produkcyjnych.