Kaseya-patch wacht op (uitgesteld) SaaS-herstel

Softwareproducent Kaseya heeft zijn eigen SaaS-systemen (Software-as-a-Service) zelf offline gehaald toen vrijdag de grote ransomware-infectie uitbrak onder zijn klanten. En onder de klanten van die klanten; veelal aanbieders van beheerdiensten via Kaseya's VSA-software (Virtual Systems Administrator). Terwijl SaaS-klanten volgens de leverancier op geen enkel moment gevaar hebben gelopen, is dat cloudaanbod wel uitgeschakeld.

'Geen risico, wel checken'

"Onze SaaS-klanten hebben nooit gevaar gelopen. We verwachten de dienstverlening aan die klanten te herstellen zodra we hebben bevestigd dat zij geen risico lopen", verklaarde Kaseya afgelopen vrijdag nog. De verwachting van het bedrijf was toen dat de risico-inschatting plus het SaaS-herstel "binnen de komende 24 uur" zou zijn. Die planning is daarna telkens opgeschort.

Het inschatten van risico's voor SaaS-klanten lijkt toch langer te duren dan aanvankelijk gedacht. Kesaya benadrukt in de diverse informatiebulletins sinds vrijdag dat het klanten veilig wil houden. De aanbieder heeft op zondag uitgelegd dat het zijn SaaS-dienst niet simpelweg weer online wil zetten, maar dan gelijk met betere beveiliging. Dit omvat beperkingen voor de functionaliteit en een hogere 'security posture' die op een geografische basis wordt ingesteld.

Legacy-functionaliteit

De functionele beperkingen betreffen de verwijdering van legacy-functionaliteit van VSA in de SaaS-omgeving. Kaseya zegt dit te doen om het zekere voor het onzekere te nemen. Een specifieke lijst van de functionaliteit en de impact daarvan op de mogelijkheden van beheerproduct VSA wordt gegeven in de release notes van de aankomende nieuwe SaaS-release.

De komst daarvan, en daarmee het herstel van Kesaya's cloudaanbod, is echter nog een paar keer opgeschort. Dit om risico voor klanten te minimaliseren, aldus de verklaring die op zondag en maandag een aantal keer is gegeven. De huidige planning is dat de SaaS voor beheerdiensten vandaag, 6 juli, weer beschikbaar komt, in de dan beter beveiligde uitvoering.

Patch voor on-prem

Ondertussen is het nog wachten op een patch voor Kaseya-klanten die VSA als lokaal draaiende (on-premises) server gebruiken. Zij hebben op vrijdag het dringende advies van de leverancier - en daarna ook van security-organen zoals het NCSC (Nationaal Cyber Security Centrum) - gekregen om hun servers uit te schakelen.

De patch voor deze gebruikers is al ontwikkeld, laat Kaseya weten in de laatste informatie-update van gister (5 juli). Daarbij heeft het softwarebedrijf hulp gekregen van het Dutch Institute for Vulnerability Disclosure (DIVD), die de misbruikte kwetsbaarheden eerder al heeft ontdekt en verantwoord gemeld aan de firma. "We verwachten dat de patch beschikbaar komt binnen 24 uur nadat onze SaaS-servers weer online zijn gebracht", aldus Kaseya. Een definitieve beslissing daarover wordt vandaag genomen.