Kaseya patcht bij ransomware-aanval gebruikte VSA-kwetsbaarheden

[Captain Kirk]

Softwarebedrijf Kaseya heeft beveiligingsupdates uitgerold voor kwetsbaarheden in het programma VSA die vrijdag 2 juli bij een wereldwijde ransomware-aanval werden gebruikt. Inmiddels is 95 procent van de SaaS-klanten van Kaseya weer online.

Managed serviceproviders (MSP's) gebruiken VSA om de systemen van hun klanten op afstand te beheren. MSP's kunnen VSA op hun eigen servers installeren of de SaaS-omgeving van Kaseya gebruiken. Vanwege de aanval adviseerde Kaseya aan managed serviceproviders om hun VSA-servers meteen offline te halen en te houden totdat er meer informatie bekend was. Ook de SaaS-omgeving van Kaseya zelf ging offline. Dit had tot gevolg dat MSP's de systemen van hun klanten niet meer via VSA konden beheren.

VSA-systemen mochten pas weer online nadat de updates geïnstalleerd waren. Met VSA 9.5.7a worden meerdere kwetsbaarheden in de software verholpen, die onder andere door onderzoekers van het Dutch Institute for Vulnerability Disclosure (DIVD) werden gevonden en gerapporteerd aan Kaseya. Het gaat mede om een "credentials leak and business logic flaw" (CVE-2021-30116), cross-site scripting-kwetsbaarheid (CVE-2021-30119) en een manier om de tweefactorauthenticatie te omzeilen (CVE-2021-30120).

Verschillende andere verholpen kwetsbaarheden, waaronder een beveiligingslek waardoor het ongeautoriseerd uploaden van bestanden naar de VSA-server mogelijk was, hebben vooralsnog geen CVE-nummer gekregen. Naast het uitbrengen van de patches heeft Kaseya ook een "Hardening and Best Practice Guide" online gezet voor het verder beveiligen van de VSA-omgeving. Kaseya heeft aangegeven dat het getroffen MSP's financieel zal ondersteunen.

 

bron: https://www.security.nl