PT-2021-18662 · Kaseya · Kaseya Vsa

Frank Breedijk + 4 · Publicado 2021-07-09 · Atualizado 2022-04-29 · CVE-2021-30201

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Kaseya VSA anteriores à 9.5.6

Descrição

O problema diz respeito a uma vulnerabilidade de Entidade Externa XML (XXE). Ela permite que um invasor envie XML malicioso ao sistema por meio do endpoint da API “/vsaWS/KaseyaWS.asmx”. Quando esse XML é processado, as entidades externas são resolvidas e buscadas pelo sistema de forma insegura, podendo retornar informações confidenciais ao invasor. Isso pode ser explorado para ler qualquer arquivo no servidor ao qual o processo do servidor web tenha acesso. Além disso, pode ser usado para realizar solicitações HTTP(s) dentro da rede local, permitindo que um invasor use o sistema Kaseya para se infiltrar na rede local.

Recomendações

Para versões anteriores à 9.5.6, atualize para a versão 9.5.6 ou posterior para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao endpoint da API “/vsaWS/KaseyaWS.asmx” até que um patch seja aplicado.

Evite usar o parâmetro XmlRequest no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

XXE

Enumeração de Fraquezas

CWE-611

Identificadores relacionados

CVE-2021-30201

Produtos afetados

Kaseya Vsa

Referências · 8

• 🔥 https://csirt.divd.nl/CVE-2021-30201 · Exploit
• https://helpdesk.kaseya.com/hc/en-gb/articles/360019966738-9-5-6-Feature-Release-8-May-2021 · Aviso do Fabricante
• https://csirt.divd.nl/DIVD-2021-00011 · Correção
• https://t.me/cvenotify/27544 · Publicação no Telegram
• https://t.me/cvenotify/17342 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-30201 · Nota de Segurança
• https://csirt.divd.nl/2021/07/07/Kaseya-Limited-Disclosure · Correção
• https://osv.dev/vulnerability/CVE-2021-30201 · Aviso do Fabricante