🇰🇷 한글 설명
Kaseya VSA의 ManagedITSync 통합 기능에서 인증 없이 원격 명령을 실행할 수 있는 취약점이 발견되었습니다. 공격자는 이를 통해 VSA 데이터베이스에 직접 접근하여 임의의 SQL 쿼리를 실행할 수 있으며, 실제로 랜섬웨어를 유포하는 데 악용되었습니다.
💡 쉬운 설명
해커가 아이디나 비밀번호 없이도 관리 시스템의 데이터베이스에 마음대로 들어와 정보를 읽거나 수정할 수 있는 심각한 결함입니다. 이 구멍을 통해 컴퓨터를 잠그는 랜섬웨어가 모든 연결된 컴퓨터로 퍼질 수 있습니다.
🇺🇸 원문 (English)
ConnectWise ManagedITSync integration through 2017 for Kaseya VSA is vulnerable to unauthenticated remote commands that allow full direct access to the Kaseya VSA database. In February 2019, attackers have actively exploited this in the wild to download and execute ransomware payloads on all endpoints managed by the VSA server. If the ManagedIT.asmx page is available via the Kaseya VSA web interface, anyone with access to the page is able to run arbitrary SQL queries, both read and write, without authentication.
📍 영향받는 시스템
Kaseya VSA (ManagedIT.asmx 페이지가 활성화된 버전)
⚔️ 공격 벡터
인증되지 않은 사용자가 웹 인터페이스의 ManagedIT.asmx 페이지를 통해 임의의 SQL 쿼리 실행
🛡️ 대응 방법
Kaseya에서 제공하는 최신 보안 패치를 적용하거나 ManagedIT.asmx 페이지에 대한 접근을 차단하십시오.
🔧 검증 코드
해당 URL에 접근했을 때 HTTP 200 응답이 오면 취약한 페이지가 노출되어 있는 상태입니다.
curl -s -I http://<TARGET_IP>/ManagedIT.asmx | grep -q '200 OK' && echo 'Vulnerable' || echo 'Not Vulnerable'