CVE-2017-18362
Kaseya VSA SQL Injection Vulnerability
Beschreibung
CVE-2017-18362 ist eine kritische Schwachstelle in der ConnectWise ManagedITSync-Integration für Kaseya VSA (Virtual System/Server Administrator), die es nicht authentifizierten entfernten Angreifern ermöglicht, beliebige Befehle mit vollem direktem Zugriff auf die Kaseya-VSA-Datenbank auszuführen. Die Schwachstelle resultiert aus unzureichender Eingabevalidierung im Integrationsmodul und ermöglicht SQL-Injection-Angriffe ohne jegliche Authentifizierung. CISA hat CVE-2017-18362 mit bestätigter Ransomware-Verbindung in den KEV-Katalog aufgenommen, und das EPSS-Perzentil von 99,1 % weist auf eine nahezu sichere aktive Ausnutzung hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| connectwise | manageditsync | <= 2017 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://archive.today/rdkeQ(Third Party Advisory)
- https://github.com/kbni/owlky(Exploit, Third Party Advisory)
- https://webcache.googleusercontent.com/search?q=cache:ZEo8ZRF_iEIJ:https://helpdesk.kaseya.com/hc/en-gb/articles/360022495572-Connectwise-API-Vulnerability+(Broken Link, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-18362(US Government Resource)
Schwachstellentyp
CWE-89: Unsachgemäße Neutralisierung spezieller Elemente in SQL-Befehlen (SQL-Injection)
CWE-89 beschreibt eine Schwachstelle, bei der ein Produkt SQL-Anweisungen aus externen Eingaben konstruiert, ohne spezielle Elemente ordnungsgemäß zu neutralisieren. Bei CVE-2017-18362 versäumt es die ConnectWise ManagedITSync-Integration für Kaseya VSA, benutzerseitige Eingaben zu bereinigen, wodurch nicht authentifizierte Angreifer SQL-Befehle injizieren und vollen Zugriff auf die zugrundeliegende Kaseya-VSA-Datenbank erlangen können.
Weitere Informationen: CWE-89 — Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
Auswirkungsanalyse
CVE-2017-18362 ermöglicht nicht authentifizierten Fernzugriff auf die Kaseya-VSA-Datenbank über die ConnectWise ManagedITSync-Integration. Die Auswirkung ist katastrophal für Managed Service Provider (MSPs), die diese Kombination nutzen, da Kaseya VSA eine Remote-Monitoring- und Management-Plattform (RMM) ist, die potenziell Tausende von Client-Endpunkten steuert. Voller Datenbankzugriff ermöglicht es Angreifern, Anmeldedaten zu stehlen, Agent-Konfigurationen zu ändern, bösartige Payloads auf alle verwalteten Endpunkte zu verteilen und sensible Kundendaten zu exfiltrieren. Das EPSS-Perzentil von 99,1 % belegt eine nahezu sichere Ausnutzungsaktivität. CISA hat eine Ransomware-Verbindung mit dieser Schwachstelle bestätigt, was ihre Verwendung in Kampagnen hervorhebt, bei denen Angreifer MSP-Tools nutzten, um Ransomware gleichzeitig über gesamte Kundenstämme zu verteilen.
Exploit-Reifegrad
CISA hat die aktive Ausnutzung von CVE-2017-18362 bestätigt und die Schwachstelle mit bestätigter Ransomware-Verbindung und einer Behebungsfrist bis zum 14. Juni 2022 in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 99,1 % deutet auf eine nahezu sichere Ausnutzungswahrscheinlichkeit hin. Das betroffene Produkt, ConnectWise ManagedITSync für Kaseya VSA, hat das End-of-Life erreicht, was bedeutet, dass keine weiteren Patches veröffentlicht werden. Diese Schwachstelle wurde in realen Ransomware-Kampagnen gegen Managed Service Provider ausgenutzt, bei denen Angreifer den Datenbankzugriff nutzten, um Ransomware auf alle über die kompromittierte Kaseya-VSA-Instanz verwalteten Endpunkte zu verteilen.
Behebung
- Trennen Sie die ConnectWise ManagedITSync-Integration für Kaseya VSA sofort, da der CISA-KEV-Katalog angibt, dass das betroffene Produkt das End-of-Life erreicht hat und bei weiterer Nutzung getrennt werden sollte.
- Prüfen Sie die Kaseya-VSA-Datenbank auf Anzeichen unbefugten Zugriffs, einschließlich unerwarteter Datenbankabfragen, geänderter Agent-Konfigurationen oder neu erstellter administrativer Konten.
- Überprüfen Sie alle verwalteten Endpunkte auf Kompromittierungsindikatoren, insbesondere Anzeichen für Ransomware-Verteilung oder nicht autorisierte Softwareinstallation, die über die kompromittierte VSA-Instanz verteilt worden sein könnte.
- Ersetzen Sie die End-of-Life-ManagedITSync-Integration durch eine unterstützte Integrationslösung, die regelmäßige Sicherheitsupdates und ordnungsgemäße Eingabevalidierung erhält.
- Implementieren Sie Netzwerkzugriffskontrollen um die Kaseya-VSA-Infrastruktur und beschränken Sie den Datenbankzugriff auf autorisierte Verwaltungsschnittstellen. Überwachen Sie alle Datenbankverbindungen auf anomale Aktivitäten.
Technische Details
CVE-2017-18362 zielt auf das ConnectWise ManagedITSync-Integrationsmodul für Kaseya VSA ab. Die Integration stellt einen Endpunkt bereit, der externe Eingaben ohne ordnungsgemäße Bereinigung akzeptiert, klassifiziert unter CWE-89 (SQL-Injection). Ein nicht authentifizierter entfernter Angreifer kann speziell präparierte Anfragen an diesen Endpunkt senden und SQL-Befehle injizieren, die direkt gegen die Kaseya-VSA-Datenbank ausgeführt werden. Da keine Authentifizierung erforderlich ist und die injizierten Befehle mit den vollen Privilegien des Datenbankdienstes ausgeführt werden, erlangt der Angreifer uneingeschränkten Lese- und Schreibzugriff auf alle in VSA gespeicherten Daten, einschließlich verwalteter Geräteinventare, Anmeldedaten, Agent-Konfigurationen und geplanter Aufgaben. Der End-of-Life-Status des ManagedITSync-Produkts bedeutet, dass diese Schwachstelle nie gepatcht wird, wodurch die vollständige Entfernung die einzig sinnvolle Behebung darstellt.
Häufig gestellte Fragen
Wird CVE-2017-18362 aktiv ausgenutzt?
Ja, CVE-2017-18362 wurde in Ransomware-Kampagnen gegen Managed Service Provider aktiv ausgenutzt. CISA hat die aktive Ausnutzung bestätigt und die Schwachstelle mit Ransomware-Verbindung in den KEV-Katalog aufgenommen. Das EPSS-Perzentil von 99,1 % belegt eine nahezu sichere Ausnutzungsaktivität.
Welche Produkte sind von CVE-2017-18362 betroffen?
CVE-2017-18362 betrifft die ConnectWise ManagedITSync-Integration für Kaseya VSA (Virtual System/Server Administrator). Dieses Produkt hat das End-of-Life erreicht und erhält keine Sicherheitsupdates mehr. Organisationen, die diese Integration nutzen, sind kritisch gefährdet.
Wie behebe ich CVE-2017-18362?
Das betroffene Produkt hat das End-of-Life erreicht und kann nicht gepatcht werden. CISA empfiehlt die sofortige Trennung der ConnectWise ManagedITSync-Integration. Ersetzen Sie sie durch eine unterstützte Alternative und prüfen Sie alle verwalteten Endpunkte auf Kompromittierungsanzeichen. Details finden Sie im Abschnitt Behebung.
Wie schwerwiegend ist CVE-2017-18362?
CVE-2017-18362 ist eine kritische Schwachstelle mit einem EPSS-Perzentil von 99,1 % und bestätigter Ransomware-Verbindung. Sie ermöglicht nicht authentifizierten vollen Datenbankzugriff auf Kaseya VSA, das potenziell Tausende von Client-Endpunkten verwaltet. Die Kombination aus fehlendem Authentifizierungserfordernis, End-of-Life-Status und Ransomware-Ausnutzung macht dies zu einer der gefährlichsten Schwachstellen für Managed Service Provider.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.