Zero-Day-Schwachstellen
Kaseya patcht 2 von 3 Lücken
Kaseya veröffentlicht Patches für zwei neue Zero-Day-Schwachstellen, die die Unitrends-Server betreffen.
Der US-amerikanische Software-Dienstleister Kaseya hat Patches veröffentlicht, um zwei Zero-Day-Schwachstellen zu beheben, die seine Backup- und Continuity-Lösung „Unitrends“ betreffen und zur Ausweitung von Privilegien und authentifizierter Remotecodeausführung führen können. Die beiden Schwachstellen sind Teil von drei Sicherheitslücken, die von Forschern des Dutch Institute for Vulnerability Disclosure (DIVD) am 3. Juli 2021 entdeckt und gemeldet wurden.
Server nicht über das Internet zugänglich machen
Laut DIVD hat der Anbieter von IT-Infrastrukturmanagement-Lösungen die Schwachstellen in der am 12. August veröffentlichten Server-Softwareversion 10.5.5-2 behoben. Eine noch nicht bekannt gegebene clientseitige Schwachstelle in Kaseya Unitrends bleibt aber weiterhin ungepatcht. Das Unternehmen hat dazu Firewall-Regeln veröffentlicht, die angewendet werden können, um den Datenverkehr zum und vom Client zu filtern und das mit der Schwachstelle verbundene Risiko zu mindern. Als zusätzliche Vorsichtsmaßnahme wird empfohlen, die Server nicht über das Internet zugänglich zu machen.
Die Schwachstellen betreffen eine authentifizierte Schwachstelle für die Remotecode-Ausführung sowie eine Schwachstelle für die Ausweitung der Berechtigungen vom Nur-Lese-Benutzer zum Administrator auf den Unitrends-Servern. Beide beruhen aber darauf, dass ein Angreifer bereits einen ersten Zugang zum Netzwerk des Ziels hat, was einen Angriff erschwert.
Universalschlüssel steht bereit
Die Veröffentlichung erfolgt knapp zwei Monate, nachdem das Unternehmen einen lähmenden Ransomware-Angriff auf sein VSA-Produkt vor Ort erlebte, der in den folgenden Wochen zur mysteriösen Schließung des „REvil“-Cybercrime-Syndikats führte. Kaseya hat seitdem Updates für die Zero-Days bereitgestellt, die für den Zugang zu den On-Premise-Servern ausgenutzt wurden. Zudem sagte der Dienstleister Ende letzten Monats, dass es einen universellen Decoder entwickelt hat.
Lesen Sie mehr zum Thema
