CVE-2021-30116
9.8, kritisch Nachweislich ausgenutzt Von Ransomware genutztKaseya Virtual System/Server Administrator (VSA) Information Disclosure Vulnerability
- CVSS
- 9.8, kritisch kritisch CVSS v3.1
- EPSS, nächste 30 Tage
- 86% höher als 99.7% der bewerteten CVEs
- Ausnutzung
- Ausnutzung bestätigt
- Veröffentlicht
- 9. Juli 2021vor 5 Jahren
Nachweislich ausgenutzt
Die CISA hat diese Schwachstelle am 3. Nov. 2021 in den Katalog Known Exploited Vulnerabilities aufgenommen und bringt sie mit Ransomware-Aktivitäten in Verbindung. US-Bundesbehörden mussten sie bis zum 17. Nov. 2021 beheben; diese Frist ist abgelaufen.
Erforderliche Massnahme. Apply updates per vendor instructions.
Beschreibung
Kaseya VSA before 9.5.7 allows credential disclosure, as exploited in the wild in July 2021. By default Kaseya VSA on premise offers a download page where the clients for the installation can be downloaded. The default URL for this page is https://x.x.x.x/dl.asp When an attacker download a client for Windows and installs it, the file KaseyaD.ini is generated (C:\Program Files (x86)\Kaseya\XXXXXXXXXX\KaseyaD.ini) which contains an Agent_Guid and AgentPassword This Agent_Guid and AgentPassword can be used to log in on dl.asp (https://x.x.x.x/dl.asp?un=840997037507813&pw=113cc622839a4077a84837485ced6b93e440bf66d44057713cb2f95e503a06d9) This request authenticates the client and returns a sessionId cookie that can be used in subsequent attacks to bypass authentication. Security issues discovered --- * Unauthenticated download page leaks credentials * Credentials of agent software can be used to obtain a sessionId (cookie) that can be used for services not intended for use by agents * dl.asp accepts credentials via a GET request * Access to KaseyaD.ini gives an attacker access to sufficient information to penetrate the Kaseya installation and its clients. Impact --- Via the page /dl.asp enough information can be obtained to give an attacker a sessionId that can be used to execute further (semi-authenticated) attacks against the system.
Details
- Hersteller
- Kaseya
- Produkt
- Vsa Agent
- Schwachstellentyp
- CWE-522 (öffnet in einem neuen Tab)
- Status
- Analysiert
- Aktualisiert
- 14. Aug. 2026
- Zugewiesen von
- cve@mitre.org
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen 5
Advisories 3
Die Art der Referenz wird aus den NVD-Tags abgeleitet, wo vorhanden, sonst aus der Form der URL. Betrachten Sie sie als Hinweis.
Weitere CVEs von Kaseya
Alle CVEs von Kaseya in unserem BestandDerselbe Hersteller in unserem Bestand, kein bekannter Zusammenhang zwischen den Schwachstellen.
- CVE-2017-18362 Kaseya VSA SQL Injection Vulnerability KEV EPSS 87% 9.8, kritisch
- CVE-2018-20753 Kaseya VSA Remote Code Execution Vulnerability KEV EPSS 30% 9.8, kritisch
Über diese Seite hinaus
Ist CVE-2021-30116 in Ihrem Netzwerk?
Diese Seite zeigt, wie gefährlich CVE-2021-30116 allgemein ist. Ob sie auf einem Ihrer Geräte steckt, kann nur ein Scan Ihres eigenen Netzwerks sagen. Genau das tun unsere Systeme jeden Tag für die Unternehmen, die wir schützen.
CVE-2021-30116 steht im CISA-Katalog der ausgenutzten Schwachstellen: Angreifer nutzen sie bereits.
-
EXYS7600 OCELOT
Finden, bevor Angreifer sie finden
Ocelot scannt Ihr Netzwerk nach Zeitplan und meldet jede gefundene Schwachstelle mit ihrer CVE-Kennung, ihrem CVSS-Wert und der Zahl Ihrer betroffenen Hosts. Ein Befund wie CVE-2021-30116 kommt mit den Geräten, die zu patchen sind.
EXYS7600 OCELOT entdecken -
EXYS7950 KONDRA
Erkennen, wenn sie ausgenutzt wird
Bis der Patch eingespielt ist, überwacht Kondra Netzwerk, Ereignisse und Endpoints in Echtzeit. Es führt ein Inventar der auf jedem Endpoint installierten Software, und seine Regeln zur Anomalieerkennung melden, was ein Angreifer im Netz tut.
EXYS7950 KONDRA entdecken
Zusammengestellt aus der NVD-2.0-API, dem CISA-Katalog Known Exploited Vulnerabilities und FIRST EPSS. Die Bewertungen entsprechen unserer letzten Erfassung am 17. Okt. 2026, nicht dem aktuellen Stand der Quellen.