Nederlandse beveiligingsonderzoekers van het Dutch Institute for Vulnerability Disclosure (DIVD) waarschuwen voor kwetsbaarheden in Kaseya Unitrends waarvoor nog geen beveiligingsupdate beschikbaar is. Organisaties die van de oplossing gebruikmaken wordt aangeraden die niet direct vanaf het internet toegankelijk te maken.

Eerder wisten onderzoekers van het DIVD ook al beveiligingslekken in Kaseya VSA te vinden. Eén van deze kwetsbaarheden werd bij de recente wereldwijde ransomware-aanval op klanten van managed serviceproviders gebruikt. Kaseya Unitrends is een back-upoplossing. De beveiligingslekken in het product maken het onder andere mogelijk voor geauthenticeerde aanvallers om willekeurige code uit te voeren en rechten te verhogen. Daarnaast is het voor een ongeauthenticeerde aanvaller mogelijk om bij clients willekeurige code uit te voeren.

De kwetsbaarheden werden op 2 juli ontdekt, waarna Kaseya een dag later de informatie ontving. Het DIVD deelde details over de beveiligingslekken met 68 Computer Emergency Response Teams (CERTs) van verschillende landen. Eén van deze CERTs deelde de informatie via een platform waardoor die ook bij andere partijen terechtkwam, laat Victor Gevers van het DIVD tegenover Bleeping Computer weten.

Het DIVD heeft nu een publieke waarschuwing afgegeven waarin het organisaties oproept om Kaseya Unitrends niet aan het internet bloot te stellen totdat er een beveiligingsupdate beschikbaar is gemaakt. Daarnaast is de organisatie begonnen met het zoeken van mogelijk kwetsbare systemen op internet om vervolgens de betreffende eigenaren te waarschuwen.