Kaseya Virtual System/Server Administrator (VSA) のリモートコード実行の脆弱性（CVE-2018-20753）

何が起きた

Kaseya のリモート管理製品 VSA に、権限を持たない攻撃者が離れた場所から、VSA が管理しているすべての端末で PowerShell の命令（ペイロード）を実行できてしまう弱点が見つかりました。NVD の説明によると、2018年1月に実際の攻撃で悪用されており、CISA も悪用を確認しています。NVD の評価では、ネットワーク経由で、ログインも利用者の操作もなしに悪用できるとされています。ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

自社のサーバーで Kaseya VSA を動かしている（オンプレミスの）組織と、その VSA で管理されているパソコンやサーバーが影響を受けます。NVD によると、R9.3 では 9.3.0.35 より前、R9.4 では 9.4.0.36 より前、R9.5 では 9.5.0.5 より前が対象です。Kaseya によると、SaaS とホスト型の VSA にはすでに修正が適用されています。

何をすればいい

Kaseya は、オンプレミスの利用者に、VSA サーバーに入っている Kinstall（Kinstall.exe）を実行して、使っている版に合ったパッチ（R9.5 は 9.5.0.5、R9.4 は 9.4.0.36、R9.3 は 9.3.0.35）をすぐ当てるよう強く勧めています。R9.2 以前を使っている場合は、9.3 以上へ更新するよう勧めています。あわせて、パスワードの変更や多要素認証などでアカウントを守ること、被害を受けていないかを Kaseya の Agent Procedures で調べることも勧めています。メーカーの公式の案内も確認してください。

やることチェックリスト

• Kinstall で版に合ったパッチを当てる
• R9.2 以前なら 9.3 以上に更新する
• パスワードを変え、多要素認証を使う

用語メモ

PowerShell

Windows に備わっている、命令を組み合わせてパソコンを操作するための仕組みです。管理作業によく使われますが、攻撃にも悪用されます。

ペイロード

攻撃で相手の機器に送り込み、実行させる命令やプログラムのことです。

多要素認証

パスワードに加えて、スマートフォンの確認コードなど別の手段も使って本人かどうかを確かめる仕組みです。

オンプレミス

ソフトを、メーカーのクラウドではなく自社で用意したサーバーで動かす使い方です。