Citrix a publié un nouveau correctif d'urgence pour ses appliances NetScaler, une semaine seulement après avoir corrigé deux vulnérabilités zero-day activement exploitées. Le dernier correctif zero-day de Citrix NetScaler, rapporté par BankInfoSecurity sous un titre le décrivant comme « sous le feu », constitue une troisième mise à jour de sécurité urgente en environ sept jours. Pour quiconque dépend de NetScaler comme porte d'entrée vers les systèmes d'entreprise, ce rythme mérite une attention particulière.
Le rapport source dont nous disposons est bref, aussi cet article s'en tient-il à ce qui est confirmé : le moment, le produit et le schéma. Nous ne spéculerons pas sur des détails techniques qui n'ont pas été publiés.
Ce que le correctif zero-day de Citrix NetScaler nous dit sur le rythme des failles
Les faits confirmés sont simples. Citrix a corrigé deux vulnérabilités zero-day dans NetScaler que les attaquants exploitaient déjà. Une semaine plus tard, l'entreprise a publié un autre correctif d'urgence. Un zero-day, en termes simples, est une faille que les attaquants trouvent et exploitent avant qu'un correctif n'existe, ce qui ne laisse aux défenseurs aucune longueur d'avance.
Trois correctifs d'urgence en environ une semaine, c'est inhabituel, et cela suggère que les attaquants et les chercheurs accordent une attention particulière à cette gamme de produits. Lorsqu'une faille est découverte et corrigée, l'examen tend à s'intensifier, et des faiblesses connexes peuvent faire surface rapidement. Il s'agit d'un schéma général dans le domaine de la sécurité, et non d'une affirmation sur la cause spécifique ici, que la source ne détaille pas.
Pour les administrateurs, la conséquence pratique est simple : les fenêtres de correctifs qui s'étendaient autrefois sur des semaines ou des mois ne correspondent plus à la menace. Une faille activement exploitée signifie que les attaquants sont déjà à l'œuvre.
Pourquoi une passerelle VPN compromise expose plus que l'entreprise
NetScaler est couramment déployé comme passerelle VPN et d'accès à distance. Ce rôle le place entre l'internet et les ressources internes, ce qui en fait l'un des appareils les plus sensibles d'un réseau. Quiconque se connecte à distance passe généralement par lui.
C'est pourquoi une faiblesse dans une passerelle importe au-delà du service informatique. Selon la configuration de l'appareil, il peut gérer :
- Les identifiants des employés et les jetons de session
- Le trafic circulant vers les applications internes
- Les chemins d'accès pour les sous-traitants et les partenaires
- Les portails destinés aux clients qui se trouvent derrière la même infrastructure
Si un attaquant prend le contrôle d'une passerelle, le risque peut s'étendre aux personnes qui l'utilisent, et pas seulement à l'organisation qui en est propriétaire. Les identifiants saisis sur l'appareil et les sessions actives sont le type de données qui méritent un second examen après toute compromission de passerelle. Nous ne pouvons pas affirmer, à partir des informations disponibles, si des données spécifiques ont été dérobées lors de ces attaques, il s'agit donc d'une raison de procéder à un examen, et non d'une affirmation d'exposition.
Ce que les précédents plantages de NetScaler suggèrent sur la fiabilité des correctifs
Les mises à jour de sécurité ne sont utiles que si les organisations peuvent les appliquer en toute confiance. Notre précédente couverture des plantages zero-day de NetScaler sur des passerelles entièrement corrigées décrivait des administrateurs utilisant NetScaler comme passerelle VPN et d'accès à distance signalant des appareils redémarrant spontanément, et en grand nombre.
Ce contexte est important ici. Lorsqu'une passerelle est à la fois une cible de grande valeur et un appareil dont les administrateurs craignent qu'il se comporte de manière imprévisible, la pression sur les équipes d'exploitation double. Elles doivent corriger rapidement pour garder une longueur d'avance sur les attaquants tout en protégeant la disponibilité pour les travailleurs à distance. Une série rapide de mises à jour d'urgence rend cet équilibre plus difficile, car chacune exige des tests, une fenêtre de maintenance et un plan de retour en arrière.
Il serait erroné d'établir un lien ferme entre les précédents rapports de stabilité et ce tout dernier correctif sans preuves. Néanmoins, le tableau d'ensemble montre pourquoi la fiabilité et la sécurité des passerelles doivent être traitées ensemble.
Ce que cela signifie pour vous
Si vous administrez NetScaler, le message est urgent : appliquez le dernier correctif de Citrix dès que possible, et ne partez pas du principe que les mises à jour précédentes vous ont couvert. Traitez la séquence de correctifs comme un seul incident en cours plutôt que comme trois incidents distincts.
Si vous êtes un employé ou un client dont l'organisation utilise NetScaler, vous avez moins de contrôle direct, mais vous n'êtes pas sans ressources. Vous n'avez pas besoin de paniquer, car il n'existe aucune preuve confirmée dans la source que vos données ont été dérobées. Vous pouvez toutefois prendre des précautions raisonnables, surtout si votre employeur ou un service que vous utilisez annonce un incident de sécurité de passerelle.
Ce que les administrateurs et les utilisateurs ordinaires devraient faire maintenant
Pour les administrateurs :
- Appliquez le correctif d'urgence de Citrix à chaque appliance NetScaler, en commençant par les passerelles exposées à l'internet.
- Examinez les journaux à la recherche d'activités inhabituelles pour la période précédant le correctif, car l'exploitation de ces failles a eu lieu alors qu'elles n'étaient pas encore corrigées.
- Mettez fin aux sessions actives et envisagez d'invalider les jetons de session après le correctif.
- Renouvelez les identifiants qui ont transité par la passerelle, en donnant la priorité aux comptes privilégiés et de service.
- Confirmez que l'authentification multifacteur est appliquée, afin qu'un mot de passe volé ne suffise pas à lui seul.
- Testez les mises à jour dans un environnement de préproduction lorsque c'est possible, et prévoyez un plan de retour en arrière, compte tenu des préoccupations de stabilité évoquées précédemment.
Pour les utilisateurs ordinaires :
- Changez votre mot de passe si votre employeur ou votre fournisseur vous le demande, et faites-le rapidement.
- Utilisez un mot de passe unique pour les systèmes professionnels, jamais un mot de passe réutilisé ailleurs.
- Activez l'authentification multifacteur partout où elle est proposée.
- Surveillez les messages d'hameçonnage qui font référence à un incident de sécurité, car les attaquants exploitent souvent la confusion qui suit un tel événement.
À retenir
Le dernier correctif zero-day de Citrix NetScaler rappelle que les passerelles d'accès à distance se trouvent au cœur du travail moderne, et que les attaquants le savent. Les administrateurs devraient corriger maintenant, puis aller plus loin en examinant l'exposition des sessions et des identifiants plutôt qu'en s'arrêtant à la mise à jour. Pour le volet opérationnel de cette histoire, notamment ce qui s'est passé sur des passerelles déjà corrigées, lisez notre rapport sur les plantages de NetScaler affectant des appareils entièrement corrigés. Rester calme, corriger rapidement et renforcer les identifiants est la réponse la plus efficace disponible aujourd'hui.
