Kaseya Virtual System/Server Administrator (VSA) のSQLインジェクションの脆弱性（CVE-2017-18362）

何が起きた

Kaseya VSA（多くのパソコンをまとめて管理するソフト）向けの ConnectWise ManagedITSync という連携機能に、ログインなしで外部から命令を送れる弱点が見つかりました。Kaseya VSA の Web 画面で ManagedIT.asmx というページにアクセスできると、誰でも SQL の命令を実行して、データベースを読み書きできてしまいます。NVD の評価では、ネットワーク経由で、ログイン不要、利用者の操作も不要で悪用できます。2019年2月には、この弱点を使って、VSA が管理するすべての端末にランサムウェアを送り込んで実行させる攻撃が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ConnectWise ManagedITSync の連携機能（ConnectWise が作った Kaseya VSA 用のプラグイン）を入れた Kaseya VSA を使っている組織が対象です。Kaseya の案内によると、影響があるのは、自社のサーバーで動かす（オンプレミスの）VSA にこのプラグインを入れている利用者だけです。データでは、影響を受けるのは 2017 年までの連携機能とされ、CISA はこの製品はサポートが終わっている（end-of-life）としています。

何をすればいい

Kaseya の案内（2019年2月）は、このプラグインを使っているすべての利用者に、ConnectWise が出した新しい版のプラグインへすぐ更新するか、すべての版のプラグインを削除するようすすめています。一方、CISA の推奨対応は、この製品はサポートが終わっているため、まだ使っている場合は切り離すよう求めています。まずプラグインが入っていないかを調べ、入っていれば削除（使うのをやめる）を検討し、Kaseya と ConnectWise の公式の案内を確認してください。

やることチェックリスト

• VSA に ManagedITSync のプラグインがあるか調べる
• プラグインがあれば削除するか使うのをやめる
• 残す場合は ConnectWise の新しい版に更新する

用語メモ

SQL

データベースに対して、データの読み出しや書き換えを命令するための言葉です。

データベース

たくさんのデータを整理してしまっておき、すぐに取り出せるようにしたしくみです。

ランサムウェア

ファイルを使えなくして、元に戻す代わりに身代金を求める不正なプログラムです。

プラグイン

ソフトにあとから追加して、機能を増やすための小さなプログラムです。