被骇客攻击的10天后，Kaseya终于修补Kaseya VSA

美国托管软件开发业者Kaseya在7月11日，修补了被骇客攻陷的远端监控与管理软件Kaseya VSA的安全漏洞，同时也宣布VSA SaaS服务将重新上线，距离被骇客危害的时间整整为10天。

Kaseya在7月2日坦承遭到骇客入侵，骇客成功入侵其就地部署的Kaseya VSA软件，并向Kaseya VSA客户发动勒索软件攻击，根据Kaseya的估计，只有不到60家Kaseya VSA客户直接遭到波及，牵连了接近1,500家的下游厂商。虽然Kaseya宣称VSA SaaS并未受到影响，但为了以防万一也将VSA SaaS一并下线。

Kaseya在7月11日发布了VSA 9.5.7a，修补由荷兰漏洞揭露协会（Dutch Institute for Vulnerability Disclosure，DIVD）所揭露的3个安全漏洞，其中的CVE-2021-30116 为一凭证外泄漏洞，CVE-2021-30119 属于跨站指令码漏洞，CVE-2021-30120为双因素认证绕过漏洞。

此外，VSA 9.5.7a还解决了User Portal期间Secure Flag未被使用的问题，某些API回应含有密码杂凑的问题；以及另一个没有漏洞编号，但允许未经授权的使用者上传档案至VSA服务器的安全漏洞。

事实上，DIVD总计提交了7个漏洞予Kaseya，而Kaseya已于今年4月10日的VSA 9.5.5修补了CVE-2021-30118，于5月8日释出的VSA 9.5.6修补了CVE-2021-30117 、CVE-2021-30121 与CVE-2021-30201，只是在还来不及修补其它3个漏洞时，就被REvil勒索软件骇客攻陷了。

虽然DIVD曾说Kaseya对于漏洞的态度非常积极，但却有多名Kaseya前员工向彭博社爆料，指出他们从2017年到2020年就不断向主管提出各种安全性危机，却经常被忽略，例如该公司的产品及服务器都采用薄弱的加密技术及密码，轻忽最基本的安全实践守则。

REvil勒索软件骇客对外声称已加密了数百万个系统，并开出高达7,000万美元的价码以提供一个通用的解密工具。目前并不确定Kaseya或其Kaseya VSA客户，如何处理下游厂商系统因此而被加密的灾难。

不管是Kaseya VSA或VSA SaaS客户，现已可依照Kaseya的指示更新系统。