CVE-2021-30116
Kaseya VSA <= v9.5.6 中的未认证凭据泄露与业务逻辑缺陷
- 已发布
- 2021年7月9日
- 已更新
- 2026年8月14日
- 分配 CNA
- mitre
- 观察到的证据
- 2021年11月3日
初级CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H高 · 未来 30 天
- 百分位
- 99.7%
- 型号日期
- 2026年10月18日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
CISA 已知被利用
此 CVE 出现在 CISA 已知利用的漏洞目录中。
总结
Kaseya VSA 9.5.7 之前的版本存在凭据泄露漏洞，该漏洞已于 2021 年 7 月被在野利用。默认情况下，本地部署的 Kaseya VSA 提供一个下载页面，用户可在该页面下载安装所需的客户端。该页面的默认 URL 为 https://x.x.x.x/dl.asp。当攻击者下载并安装 Windows 客户端时，会生成 KaseyaD.ini 文件（C:\Program Files (x86)\Kaseya\XXXXXXXXXX\KaseyaD.ini），其中包含 Agent_Guid 和 AgentPassword。该 Agent_Guid 和 AgentPassword 可用于登录 dl.asp（https://x.x.x.x/dl.asp?un=840997037507813&pw=113cc622839a4077a84837485ced6b93e440bf66d44057713cb2f95e503a06d9）。该请求会对客户端进行身份验证，并返回一个 sessionId cookie，可用于后续攻击中绕过身份验证。 已发现的安全问题 --- * 未经身份验证的下载页面泄露凭据 * 代理软件的凭据可用于获取 sessionId（cookie），该 sessionId 可用于访问并非为代理设计的服务 * dl.asp 通过 GET 请求接受凭据 * 访问 KaseyaD.ini 可使攻击者获得足够的信息，从而渗透 Kaseya 安装及其客户端。 影响 --- 通过 /dl.asp 页面可获取足够的信息，使攻击者获得一个 sessionId，进而可对系统执行进一步的（半身份验证）攻击。
来源
http/cves/2021/CVE-2021-30116.yaml
Nuclei Templates声明的条件
- network: http($.protocol_keys)
- verification: dsl,regex,status($.matchers[*].type)
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。