Kaseya VSA до версии 9.5.7 допускает раскрытие учетных данных, что было использов…
Kaseya VSA до версии 9.5.7 допускает раскрытие учетных данных, что было использовано в реальных условиях в июле 2021 года. По умолчанию Kaseya VSA on premise предлагает страницу загрузки, с которой можно загрузить клиенты для установки. URL-адрес по умолчанию для этой страницы: https://x.x.x.x/dl.asp. Когда злоумышленник загружает клиент для Windows и устанавливает его, создается файл KaseyaD.ini (C:\Program Files (x86)\Kaseya\XXXXXXXXXX\KaseyaD.ini), который содержит Agent_Guid и AgentPassword. Эти Agent_Guid и AgentPassword можно использовать для входа на dl.asp (https://x.x.x.x/dl.asp?un=840997037507813&pw=113cc622839a4077a84837485ced6b93e440bf66d44057713cb2f95e503a06d9). Этот запрос аутентифицирует клиента и возвращает cookie sessionId, который можно использовать в последующих атаках для обхода аутентификации. Обнаружены проблемы безопасности: * Страница загрузки без аутентификации раскрывает учетные данные * Учетные данные программного обеспечения агента можно использовать для получения sessionId (cookie), который можно использовать для служб, не предназначенных для использования агентами * dl.asp принимает учетные данные через GET-запрос * Доступ к KaseyaD.ini дает злоумышленнику доступ к достаточной информации для проникновения в установку Kaseya и ее клиенты. Воздействие: Через страницу /dl.asp можно получить достаточно информации, чтобы предоставить злоумышленнику sessionId, который можно использовать для выполнения дальнейших (полуаутентифицированных) атак на систему.
Продукт передаёт или хранит учётные данные аутентификации, используя небезопасный метод, уязвимый для несанкционированного перехвата и/или извлечения.
https://cwe.mitre.org/data/definitions/522.html →Открыть в коллекции CWE →Злоумышленник использует функцию приложения, предназначенную для помощи пользователям в восстановлении забытых паролей, с целью получения доступа к системе с теми же привилегиями, что и у исходного пользователя. Как правило, механизмы восстановления паролей отличаются слабостью и ненадёжностью.
https://capec.mitre.org/data/definitions/50.html →Открыть в коллекции CAPEC →Перехват сессии использует незашифрованный канал связи между жертвой и целевой системой. Злоумышленник прослушивает трафик в сети в поисках токенов сессии в незашифрованном трафике. После захвата токена сессии злоумышленник выполняет вредоносные действия, используя похищенный токен в целевом приложении для имперсонации жертвы. Данная атака является разновидностью угона сессии — эксплуатации действующего токена сессии для получения несанкционированного доступа к целевой системе или информации. Другие методы угона сессии включают фиксацию сессии, межсайтовый скриптинг или компрометацию машины пользователя или сервера с последующей кражей токена сессии.
https://capec.mitre.org/data/definitions/102.html →Открыть в коллекции CAPEC →Злоумышленник получает закрытый ключ подписи авторитетного или надёжного подписанта посредством кражи, а затем использует этот ключ для подделки подписей от имени исходного подписанта с целью введения жертвы в заблуждение и побуждения её к совершению действий в интересах злоумышленника.
https://capec.mitre.org/data/definitions/474.html →Открыть в коллекции CAPEC →Посредством эксплуатации принципа работы учётных записей служб в Kerberos-аутентификации с именами субъектов служб (SPN) злоумышленник получает и впоследствии вскрывает хешированные учётные данные целевой учётной записи службы для использования её привилегий. Протокол аутентификации Kerberos основан на системе тикетов, используемой для запроса/предоставления доступа к сервисам и последующего обращения к ним. Будучи аутентифицированным пользователем, злоумышленник может запросить Active Directory и получить сервисный тикет, частично зашифрованный с помощью RC4 закрытым ключом аутентифицированной учётной записи. Извлекая локальный тикет и сохраняя его на диск, злоумышленник может подобрать хешированное значение методом перебора для раскрытия учётных данных целевой учётной записи.
https://capec.mitre.org/data/definitions/509.html →Открыть в коллекции CAPEC →При запуске операционная система также запускает программы, называемые службами или демонами. Модификация существующих служб может нарушить их работу или активировать службы, которые отключены или не используются в стандартных условиях.
https://capec.mitre.org/data/definitions/551.html →Открыть в коллекции CAPEC →Данный шаблон атаки предполагает использование злоумышленником похищенных учётных данных для доступа к удалённым службам — таким как RDP, telnet, SSH и VNC — с целью входа в систему. После получения доступа может выполняться широкий спектр вредоносных действий.
https://capec.mitre.org/data/definitions/555.html →Открыть в коллекции CAPEC →Нет описания в исходных данных.
https://capec.mitre.org/data/definitions/560.html →Открыть в коллекции CAPEC →Злоумышленник угадывает или получает (то есть крадёт или приобретает) легитимные учётные данные администратора Windows (например, идентификатор пользователя/пароль) для доступа к общим ресурсам Windows Admin на локальной машине или в домене Windows.
https://capec.mitre.org/data/definitions/561.html →Открыть в коллекции CAPEC →Нет описания в исходных данных.
https://capec.mitre.org/data/definitions/600.html →Открыть в коллекции CAPEC →Злоумышленник получает (т. е. похищает или приобретает) легитимные хеши учётных данных домена Windows для доступа к системам в домене, использующим протоколы аутентификации LAN Manager (LM) и/или NT LAN Manager (NTLM).
https://capec.mitre.org/data/definitions/644.html →Открыть в коллекции CAPEC →Злоумышленник использует похищенные билеты Kerberos для доступа к системам/ресурсам, использующим протокол аутентификации Kerberos. Протокол аутентификации Kerberos основан на системе билетов, применяемой для запроса и предоставления доступа к сервисам, а затем для обращения к запрошенным сервисам. Злоумышленник может получить любой из этих билетов (например, билет сервиса, TGT, серебряный билет или золотой билет) для аутентификации в системе/ресурсе без необходимости использования учётных данных. В зависимости от полученного билета злоумышленник может получить доступ к конкретному ресурсу или генерировать TGT для любой учётной записи в домене Active Directory.
https://capec.mitre.org/data/definitions/645.html →Открыть в коллекции CAPEC →Злоумышленник получает (т. е. похищает или приобретает) легитимные учётные данные Kerberos (например, userID/пароль учётной записи сервиса Kerberos или билеты Kerberos) с целью получения аутентифицированного доступа к дополнительным системам, приложениям или сервисам в домене.
https://capec.mitre.org/data/definitions/652.html →Открыть в коллекции CAPEC →Злоумышленник угадывает или получает (т. е. похищает или приобретает) легитимные учётные данные операционной системы (например, userID/пароль) для аутентификации и выполнения авторизованных действий в системе под видом аутентифицированного пользователя или сервиса. Применимо к любой операционной системе.
https://capec.mitre.org/data/definitions/653.html →Открыть в коллекции CAPEC →| Продукт | Вендор | Статус |
|---|---|---|
| vsa_agent | * | Эксплуатируется |
| vsa_server | * | Эксплуатируется |