CVE-2021-30116

9.5.7 versiyasından əvvəlki Kaseya VSA, 2021-ci ilin iyul ayında real hücumlarda istifadə edildiyi kimi, etibarlılıq məlumatlarının sızmasına şərait yaradır. Defolt olaraq, on-premise Kaseya VSA quraşdırma üçün klientlərin yüklənə bildiyi bir yükləmə səhifəsi təqdim edir. Bu səhifənin standart URL ünvanı https://x.x.x.x/dl.asp formasına malikdir. Hücumçu Windows üçün klienti yüklədikdə və quraşdırdıqda, tərkibində Agent_Guid və AgentPassword olan KaseyaD.ini faylı (C:\Program Files (x86)\Kaseya\XXXXXXXXXX\KaseyaD.ini) yaradılır. Bu Agent_Guid və AgentPassword dl.asp səhifəsində daxil olmaq üçün istifadə edilə bilər (https://x.x.x.x/dl.asp?un=840997037507813&pw=113cc622839a4077a84837485ced6b93e440bf66d44057713cb2f95e503a06d9). Bu sorğu klienti autentifikasiya edir və sonrakı hücumlarda autentifikasiyadan yan keçmək üçün istifadə edilə bilən sessionId kuki-sini qaytarır. Aşkar edilmiş təhlükəsizlik problemləri --- * Autentifikasiyasız yükləmə səhifəsi etibarlılıq məlumatlarını sızdırır * Agent proqram təminatının etibarlılıq məlumatları, agentlər üçün nəzərdə tutulmayan xidmətlərdən istifadə etmək üçün sessionId (kuki) əldə etmək üçün istifadə edilə bilər * dl.asp GET sorğusu vasitəsilə etibarlılıq məlumatlarını qəbul edir * KaseyaD.ini faylına giriş hücumçuya Kaseya quraşdırmasına və onun klientlərinə nüfuz etmək üçün kifayət qədər məlumat verir. Təsir --- /dl.asp səhifəsi vasitəsilə hücumçunun sistemə qarşı daha çox (yarı-autentifikasiya olunmuş) hücumlar həyata keçirmək üçün istifadə edə biləcəyi sessionId əldə etməsinə imkan verən kifayət qədər məlumat əldə edilə bilər.