CVE-2017-18362

Falha de SQL injection não autenticada na integração ManagedITSync, publicada pela ConnectWise para conectar seu produto a servidores Kaseya VSA. O endpoint exposto (KaseyaCwWebService/ManagedIT.asmx) permite executar queries SQL arbitrárias — leitura e escrita — direto no banco do VSA sem qualquer credencial, entregando controle total sobre a plataforma de gestão de endpoints. Ganhou notoriedade por ter sido usada em fevereiro de 2019 para distribuir ransomware a todos os endpoints gerenciados por servidores VSA comprometidos.

A vulnerabilidade (CWE-89) está na integração ManagedITSync, um componente de terceiros da ConnectWise instalado sobre o Kaseya VSA para sincronizar dados de ativos entre as duas plataformas. O endpoint ManagedIT.asmx, um serviço web ASMX exposto pela própria interface web do VSA, aceita parâmetros que são concatenados diretamente em queries SQL sem sanitização e sem exigir autenticação prévia.

Como o serviço roda com a mesma conta de banco que o VSA usa internamente, qualquer atacante capaz de alcançar o endpoint controla efetivamente o banco de dados completo do VSA — tabelas de usuários, organizações, credenciais de suporte, configuração de agentes e scripts. Não é uma falha no núcleo do Kaseya VSA, e sim num plugin/integração de terceiro que fica instalado junto dele; por isso o problema só existe em instalações onde a integração ManagedITSync foi habilitada.

A prova de conceito pública (owlky) demonstra a extensão do controle: comandos para listar organizações, listar usuários com e-mails, fazer directory listing e — o mais grave — resetar a senha da conta 'kaseyasupport' para um valor escolhido pelo atacante, o que dá acesso administrativo ao próprio VSA além do acesso ao banco.

O vetor é uma requisição HTTP não autenticada diretamente ao endpoint /KaseyaCwWebService/ManagedIT.asmx do servidor VSA. Não há necessidade de conta, sessão ou qualquer interação do usuário — a única pré-condição real é que a integração ManagedITSync esteja instalada e o endpoint acessível pela rede (o que inclui, em muitos casos, exposição direta à internet, já que servidores VSA costumam ser publicados para gerenciamento remoto de endpoints).

Com acesso ao endpoint, a exploração é trivial e automatizável: a PoC pública mostra que basta enviar os parâmetros certos para enumerar organizações e usuários, fazer leitura de diretórios do servidor, ou resetar a senha da conta de suporte do Kaseya para assumir controle administrativo da console VSA. A partir daí, o atacante usa os próprios mecanismos legítimos do VSA — deploy de scripts/agentes — para empurrar payloads a todos os endpoints geridos pelo servidor.

Em fevereiro de 2019 essa cadeia foi usada ativamente para distribuir ransomware em massa: comprometer um único servidor VSA vulnerável se traduzia em execução de payload em toda a base de máquinas administradas por ele, o que explica a gravidade prática muito além do que uma 'injeção SQL isolada' normalmente sugeriria. A CISA confirma exploração ativa e associação a campanhas de ransomware ao incluir a falha no catálogo KEV.

A ConnectWise removeu a integração ManagedITSync do seu Marketplace após ser notificada e publicou passos de mitigação para clientes afetados através de sua base de conhecimento — o conteúdo específico desses passos não está disponível nas fontes consultadas aqui, então não é possível reproduzi-lo com precisão. Não há um número de versão corrigida divulgado pelo fornecedor nas fontes disponíveis; a recomendação prática, tanto da ConnectWise quanto da CISA, converge para remover/desinstalar a integração ManagedITSync do servidor Kaseya VSA quando ela não for estritamente necessária.

A CISA classifica o produto como fim de vida (EOL) e recomenda, como 'Known Action', desconectá-lo da rede caso ainda esteja em uso — não trata como algo corrigível via patch, e sim como componente a ser descomissionado. Como controle compensatório imediato, se a remoção não for possível de imediato, bloquear acesso de rede ao caminho /KaseyaCwWebService/ManagedIT.asmx (via firewall, ACL ou proxy reverso) reduz a exposição sem depender de patch do fornecedor, mas não é solução definitiva — o componente vulnerável continua instalado.

Não existe mitigação eficaz que dependa apenas de reforçar autenticação no VSA em si: a falha está num serviço à parte que não exige autenticação nenhuma, então políticas de senha, MFA ou hardening da console VSA não fecham esse vetor específico. Qualquer resposta de handshake/senha resetada na conta 'kaseyasupport' deve ser tratada como indicador de comprometimento, não como configuração a ajustar.

Monitorar logs do servidor web do Kaseya VSA por requisições ao caminho /KaseyaCwWebService/ManagedIT.asmx originadas de IPs não corporativos ou fora de padrões conhecidos de uso da integração ConnectWise — qualquer chamada não vinda de sistemas ConnectWise legítimos é suspeita. Alterações inesperadas na senha da conta 'kaseyasupport', criação ou modificação de usuários administrativos no VSA sem correlação com atividade de TI conhecida, e enumeração massiva de organizações/usuários via esse endpoint são sinais fortes de exploração ativa, conforme demonstrado pela PoC pública. Não há assinatura de payload SQL única e confiável a procurar, já que a injeção varia por parâmetro manipulado — a ausência de autenticação no endpoint em si já deveria ser tratada como indicador de risco, independente de payload observado.