Trusted DesignCVE-2021-30116 の詳細
CVEの情報
説明:
Kaseya VSA before 9.5.7 allows credential disclosure, as exploited in the wild in July 2021. By default Kaseya VSA on premise offers a download page where the clients for the installation can be downloaded. The default URL for this page is https://x.x.x.x/dl.asp When an attacker download a client for Windows and installs it, the file KaseyaD.ini is generated (C:\Program Files (x86)\Kaseya\XXXXXXXXXX\KaseyaD.ini) which contains an Agent_Guid and AgentPassword This Agent_Guid and AgentPassword can be used to log in on dl.asp (https://x.x.x.x/dl.asp?un=840997037507813&pw=113cc622839a4077a84837485ced6b93e440bf66d44057713cb2f95e503a06d9) This request authenticates the client and returns a sessionId cookie that can be used in subsequent attacks to bypass authentication. Security issues discovered --- * Unauthenticated download page leaks credentials * Credentials of agent software can be used to obtain a sessionId (cookie) that can be used for services not intended for use by agents * dl.asp accepts credentials via a GET request * Access to KaseyaD.ini gives an attacker access to sufficient information to penetrate the Kaseya installation and its clients. Impact --- Via the page /dl.asp enough information can be obtained to give an attacker a sessionId that can be used to execute further (semi-authenticated) attacks against the system.
CVE更新日: 2021-07-09 14:15:07.770000
CVSSバージョン: 3.1
CVSSスコア: 10.0
KEVの情報
KEV更新日: 2021-11-03
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.857350000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2021-30116は、Kaseya VSA（Virtual System/Server Administrator）における認証バイパスの脆弱性です。この脆弱性は、2021年7月にREvilランサムウェアのサプライチェーン攻撃で悪用され、広範囲にわたるシステムに影響を与えました。
1. 脆弱性の概要
CVE-2021-30116は、Kaseya VSAのオンプレミス版に存在する認証バイパスの脆弱性です。攻撃者は、認証されていないダウンロードページ（
/dl.asp）から資格情報を漏洩させ、エージェントの資格情報（Agent_GuidとAgentPassword）を利用してセッションIDを取得することで、認証をバイパスできます。これにより、意図されていないサービスに対して認証済みのセッションを確立し、さらなる攻撃を実行することが可能になります。1.1 影響
この脆弱性が悪用されると、攻撃者はKaseya VSAシステムへの認証済みセッションを獲得し、任意のコマンド実行を可能にします。実際に、2021年7月にはREvilランサムウェアの展開に利用され、100万を超えるシステムにランサムウェアが配布されたと報告されています。
1.2 深刻度
この脆弱性の深刻度は非常に高く評価されています。 * NISTによるCVSS v3.1ベーススコアは9.8 (Critical) です。 * MITREによるCVSS v3.1ベーススコアは10.0 (Critical) です。 * CISA（Cybersecurity and Infrastructure Security Agency）の「既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」に記載されており、積極的に悪用されている脆弱性として分類されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性はKaseya VSAソフトウェア自体に存在するため、特定のOSバージョンに限定されるものではありません。Kaseya VSAはWindows、Linux、macOS上で動作する可能性があります。 具体的には、Kaseya VSAのバージョン9.5.7より前のバージョンが影響を受けます。
2.2 影響を受ける設定
Kaseya VSAのオンプレミス版が特に影響を受けます。特に、デフォルトで提供されるダウンロードページ（
https://x.x.x.x/dl.asp）が資格情報の漏洩源となります。3. 影響を受けた時の兆候
CVE-2021-30116が悪用された場合、以下のような兆候が考えられます。 * REvilランサムウェアに感染している兆候（ファイルの暗号化、ランサムノートの存在など）。 * Kaseya VSAのウェブインターフェースを通じて、攻撃者が認証されたセッションを獲得し、ペイロードがアップロードされ、コードインジェクションによるコマンドが実行されている形跡。 * システム上で
KaseyaD.iniファイル（例:C:\Program Files (x86)\Kaseya\XXXXXXXXXX\KaseyaD.ini）が意図せずアクセスされ、Agent_GuidやAgentPasswordが取得された形跡。4. 推奨対策
4.1 本対策
Kaseya VSAをバージョン9.5.7以降にアップデートしてください。Kaseyaは、この脆弱性に対するパッチをリリースしています。
4.2 暫定回避策（緩和策）
dl.aspダウンロードページへのアクセスを制限することも、一時的な緩和策として考えられます。参照したサイト