Kaseya VSA 인증 우회 및 자격 증명 노출 취약점 (CVE-2021-30116) 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTKaseya VSA 9.5.7 미만의 온프레미스(On-Premise) 설치 버전
공격자가 에이전트 자격 증명을 탈취하여 유효한 세션 ID를 획득하고, 이를 통해 인증을 우회하여 시스템 제어권을 장악할 수 있습니다
Kaseya VSA 버전을 9.5.7 이상으로 즉시 업그레이드하고, 외부 노출된 dl.asp 페이지에 대한 접근을 차단하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
Kaseya 공식 패치가 적용된 9.5.7 이상 버전으로 즉시 업그레이드를 수행해야 합니다. 아래는 리눅스 기반 환경에서 패치 적용 전 백업 및 업데이트 프로세스를 예시화한 커맨드라인 가이드입니다.
# 1. 현재 실행 중인 Kaseya VSA 서비스 및 IIS 웹서버 중지
iisreset /stop
net stop KaseyaEdgeServices
# 2. 데이터베이스 및 주요 설정 파일 백업 실행
tar -cvzf kaseya_backup_$(date +%F).tar.gz /cygdrive/c/Kaseya/2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 패치가 어려운 경우, 외부 인터넷으로부터의 dl.asp 및 관리자 페이지 접근을 원천 차단하고 신뢰할 수 있는 IP(VPN 등)만 허용하도록 방화벽 또는 IIS URL 재작성 규칙을 설정해야 합니다.
<!-- IIS web.config 내 URL Rewrite 규칙을 통한 dl.asp 접근 제한 예시 -->
<configuration>
<system.webServer>
<rewrite>
<rules>
<rule name='Block dl.asp Access' stopProcessing='true'>
<match url='^dl\.asp$' />
<conditions>
<!-- 허용된 내부 관리자 대역이 아닌 경우 차단 -->
<add input='{REMOTE_ADDR}' pattern='^192\.168\.' negate='true' />
</conditions>
<action type='CustomResponse' statusCode='403' statusReason='Forbidden' statusDescription='Access Denied' />
</rule>
</rules>
</rewrite>
</system.webServer>
</configuration>3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
웹 서버 로그에서 dl.asp를 대상으로 자격 증명 파라미터(un=, pw=)가 포함된 비정상적인 GET 요청이 유입되었는지 점검하는 PowerShell 스크립트입니다.
# IIS 로그 디렉터리에서 dl.asp를 통한 자격 증명 노출 시도 탐지
$LogPath = 'C:\inetpub\logs\LogFiles\W3SVC1\*'
Select-String -Path $LogPath -Pattern 'dl\.asp\?un=' | ForEach-Object {
Write-Warning 'Potential CVE-2021-30116 Exploitation Attempt Detected:'
Write-Output $_.Line
}코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점(CVE-2021-30116)은 Kaseya VSA 온프레미스 솔루션의 기본 다운로드 페이지(dl.asp) 및 에이전트 설치 프로세스에서 발생하는 심각한 자격 증명 노출 및 인증 우회 취약점입니다. 기본적으로 Kaseya VSA는 클라이언트 설치 파일을 다운로드할 수 있는 공개 페이지를 제공합니다. 이 과정에서 생성되는 설정 파일(KaseyaD.ini) 내에 민감한 에이전트 식별 정보(Agent_Guid) 및 패스워드(AgentPassword)가 평문 또는 취약한 형태로 노출되는 설계 결함(CWE-522)이 존재합니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 다음과 같은 단계를 통해 대상 시스템의 세션 권한을 탈취합니다:
- 정보 수집: 공격자는 대상 Kaseya VSA 서버의 공개 다운로드 경로(
https://<Target_IP>/dl.asp)에 접근하여 윈도우용 클라이언트 설치 프로그램을 다운로드하고 실행합니다. - 자격 증명 추출: 설치 과정에서 로컬 디렉터리(
C:\Program Files (x86)\Kaseya\...\KaseyaD.ini)에 생성되는 설정 파일에서Agent_Guid와AgentPassword를 추출합니다. - 인증 우회 및 세션 획득: 추출한 자격 증명을 사용하여
dl.asp페이지에 GET 요청(예:dl.asp?un=<Agent_Guid>&pw=<AgentPassword>)을 전송합니다. 서버는 이 요청을 정상적인 에이전트 인증으로 처리하고 응답 헤더를 통해 유효한sessionId쿠키를 반환합니다. - 후속 공격 수행: 획득한
sessionId를 도용하여 에이전트 권한을 넘어선 관리자 기능 및 API 호출 등 추가적인 악의적 행위를 수행합니다.
3. 비즈니스 및 인프라 파급 영향
이 취약점은 2021년 7월 REvil 랜섬웨어 공격 그룹이 MSP(관리형 서비스 제공업체) 및 그 하위 고객사 수천 곳을 동시다발적으로 감염시키는 공급망 공격(Supply Chain Attack)에 악용되어 막대한 비즈니스 중단과 금전적 피해를 야기했습니다. 공격자가 유효한 세션을 획득할 경우, VSA 서버를 통해 연결된 모든 엔드포인트에 악성 페이로드를 배포하고 원격 코드를 실행할 수 있는 절대적인 권한을 가지게 되므로 인프라 전체가 마비될 수 있습니다.
공식 보안 권고문 및 참조 링크
Kaseya VSA before 9.5.7 allows credential disclosure, as exploited in the wild in July 2021. By default Kaseya VSA on premise offers a download page where the clients for the installation can be downloaded. The default URL for this page is https://x.x.x.x/dl.asp When an attacker download a client for Windows and installs it, the file KaseyaD.ini is generated (C:\Program Files (x86)\Kaseya\XXXXXXXXXX\KaseyaD.ini) which contains an Agent_Guid and AgentPassword This Agent_Guid and AgentPassword can be used to log in on dl.asp (https://x.x.x.x/dl.asp?un=840997037507813&pw=113cc622839a4077a84837485ced6b93e440bf66d44057713cb2f95e503a06d9) This request authenticates the client and returns a sessionId cookie that can be used in subsequent attacks to bypass authentication. Security issues discovered --- * Unauthenticated download page leaks credentials * Credentials of agent software can be used to obtain a sessionId (cookie) that can be used for services not intended for use by agents * dl.asp accepts credentials via a GET request * Access to KaseyaD.ini gives an attacker access to sufficient information to penetrate the Kaseya installation and its clients. Impact --- Via the page /dl.asp enough information can be obtained to give an attacker a sessionId that can be used to execute further (semi-authenticated) attacks against the system.
자주 묻는 실무 질문 (FAQ — CVE-2021-30116)
FAQQ1. CVE-2021-30116 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2021-30116의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 85.7%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2021-30116에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 kaseya이며, 대상 컴포넌트는 vsa입니다. 상세 영향 범위: Kaseya VSA 9.5.7 미만의 모든 온프레미스(On-Premise) 버전 (CISA KEV 등재 및 실제 악용 확인됨)
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] Kaseya VSA 버전을 9.5.7 이상으로 즉시 업그레이드하고, 외부 노출된 dl.asp 페이지에 대한 접근을 차단하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2021-30116 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (kaseya)
동일 카테고리 전체 보기 →Ahsay AhsayCBS Replication Receiver 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-105134)
[영향 대상] AhsayCBS 9.15.2.69 및 10.3.4.44 이하 버전의 Replication Receiver 구성 요소
Adobe Commerce (Magento) 서버 측 템플릿 주입(SSTI) 기반 원격 코드 실행 취약점 (CVE-2026-75650)
[영향 대상] Adobe Commerce 및 Magento Open Source 전 버전 (보안 패치 미적용 시)
Metabase /reset_password 엔드포인트 미인증 SQL 인젝션 및 관리자 권한 탈취 취약점 (CVE-2026-72898)
[영향 대상] Metabase 오픈소스 및 엔터프라이즈 버전 중 패치가 적용되지 않은 활성 인스턴스
WSO2 JWT 인증 우회 및 관리자 권한 탈취 취약점 (CVE-2026-5430) 보안 권고
[영향 대상] WSO2 Identity Server, API Manager 등 JWT 인증 메커니즘을 사용하는 주요 제품군
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.