Brzo se razvija sigurnosna hitna situacija diljem enterprise mreža jer istraživači potvrđuju da napadači aktivno lančano iskorištavaju dvije nezakrpane ranjivosti za udaljeno izvršavanje koda u Citrix NetScaler uređajima. Otkrivanje, koje je prvi signalizirala tvrtka za sigurnosnu inteligenciju watchTowr, opisuje lance eksploatacije prije autentikacije koji se oružju u divljini protiv NetScaler ADC i NetScaler Gateway uređaja prije nego što je Citrix isporučio potpuni ispravak. Za svakodnevne korisnike interneta to može zvučati kao daleki enterprise IT problem. Nije. Rizik NetScaler nultog dana za VPN izravno je važan za svakoga tko se oslanja na VPN uslugu, korporativni alat za udaljeni pristup ili čak poslovnog pružatelja e-pošte, jer mnoge od tih usluga stoje iza upravo one vrste pristupnog uređaja koji je sada napadnut.
Što NetScaler lanac eksploatacije zapravo radi
NetScaler uređaji djeluju kao ulazna vrata u enterprise mreže. Upravljaju autentikacijom, balansiranjem opterećenja i sigurnim udaljenim pristupom, zbog čega su često konfigurirani kao VPN virtualni poslužitelji, ICA proxyji ili AAA autentikacijske točke. Prema otkrivanju watchTowr, ranjivosti koje se iskorištavaju omogućuju napadaču izvršavanje koda na tim uređajima bez potrebe za valjanim vjerodajnicama. Lančano povezivanje prije-autentikacijskih nedostataka znači da napadač može potencijalno kompromitirati uređaj izvana, prije nego što uopće dođe u igru bilo koji zaslon za prijavu, enkripcijski tunel ili zahtjev za višefaktorsku autentikaciju.
To je ključna razlika. Većina ljudi pretpostavlja da je VPN veza sigurna jer je promet unutar tunela enkriptiran. Ali ako je pristupni uređaj koji upravlja tim tunelom kompromitiran na razini softvera, napadač uopće ne mora razbiti enkripciju. Potencijalno može sjediti na samim vratima, presretati sesije, prikupljati vjerodajnice ili se probijati dublje u mrežu koju je VPN trebao štititi.
Zašto se rizik NetScaler nultog dana za VPN proteže na vašu privatnost
NetScaler nije nišni proizvod. To je jedna od najraširenijih platformi za isporuku aplikacija i udaljeni pristup u svijetu, koju koriste velika poduzeća, vladine agencije, sveučilišta i, osobito, pružatelji usluga čija infrastruktura podupire proizvode namijenjene potrošačima. VPN pružatelji, ISP-ovi i hostane platforme e-pošte često unajmljuju, preprodaju ili grade na istoj klasi perimetarskog hardvera koji poduzeća koriste interno.
To znači da lanac eksploatacije opisan u otkrivanju watchTowr nije samo glavobolja IT odjela. Kao što je pokriveno u ranijem izvještavanju o watchTowr-ovom upozorenju na aktivno iskorištavanje NetScaler nultog dana, Citrix u to vrijeme još nije bio objavio potpuni zakrpu dok su napadi već bili u tijeku, ostavljajući prozor u kojem je kompromitacija bila moguća bez obzira na to koliko su jake korisničke lozinke ili prakse enkripcije bile. Sigurnosni istraživač Kevin Beaumont podigao je slične alarme u zasebnom upozorenju, detaljno opisanom u izvještavanju o novim Citrix nultim danima, naglašavajući da ovo nije izoliran nalaz nego obrazac koji sigurnosna istraživačka zajednica pomno prati.
Kako provjeriti je li vaš VPN pružatelj ili host e-pošte izložen
Većina potrošača ne može izravno pregledati pozadinsku infrastrukturu usluga koje koriste, ali postoje praktični koraci koji smanjuju nesigurnost. Započnite provjerom je li vaš VPN pružatelj ili host e-pošte objavio sigurnosni savjet ili ažuriranje statusa koje se odnosi na Citrix NetScaler. Ugledni pružatelji koji upravljaju ranjivim konfiguracijama pristupnika obično objavljuju neku vrstu javne izjave nakon što se potvrdi široko prijavljeni nulti dan poput ovog. Ako ne možete pronaći takvu izjavu, izravno kontaktiranje korisničke podrške pružatelja i postavljanje konkretnog pitanja, poput toga koristi li njihova infrastruktura NetScaler ADC ili NetScaler Gateway i je li zakrpana, razuman je zahtjev na koji bi svaki legitimni pružatelj trebao moći odgovoriti.
Također je vrijedno obratiti pozornost na neobičnu aktivnost računa kao što su neočekivani upiti za prijavu, isteci sesija ili e-poruke za poništavanje lozinke koje niste zatražili. To nije definitivan dokaz kompromitacije, ali u kombinaciji sa šutnjom pružatelja o tom pitanju, vrijedi to eskalirati.
Što to znači za vas
Ključna poanta je da obećanje privatnosti VPN-a ovisi o više od samo protokola enkripcije koji koristi. Ovisi i o sigurnosti fizičke i virtualne infrastrukture koja se nalazi na rubu mreže, upravo onih uređaja koje ovaj lanac eksploatacije cilja. Kada je temeljni dio te infrastrukture poput NetScalera pod aktivnim napadom, rizik se prelijeva na svakog korisnika čiji promet prolazi kroz nezakrpani uređaj, čak i ako je taj korisnik učinio sve kako treba na svojoj strani.
To ne znači da je panika opravdana. Znači da je informirana pažljivost opravdana. Ne pokreće svaki VPN pružatelj ili host e-pošte NetScaler, a mnogi koji ga pokreću možda su već zakrpani ili nikada nisu bili konfigurirani na ranjiv način. No s obzirom na razmjere aktivnog iskorištavanja opisanog u otkrivanju watchTowr, pretpostavka da vaš pružatelj nije pogođen bez pitanja rizik je koji vrijedi izbjeći.
Praktični zaključci
Ako koristite VPN uslugu, platformu poslovne e-pošte ili alat za udaljeni pristup, razmotrite sljedeće korake. Obratite se svom pružatelju i izravno pitajte oslanja li se njihova infrastruktura na Citrix NetScaler i je li zakrpana protiv nedavno otkrivenog prije-autentikacijskog RCE lanca. Pratite službene sigurnosne biltene ili ažuriranja statusne stranice svog pružatelja u nadolazećim danima, jer je ovo situacija koja se razvija. Omogućite višefaktorsku autentikaciju gdje god je dostupna, jer dodaje sloj zaštite čak i ako je pristupnik kompromitiran. I pratite daljnje tehničko izvještavanje istraživača poput watchTowr-a i Kevina Beaumonta, čija ranija upozorenja pomažu uspostaviti vremensku liniju i opseg ovog rizika NetScaler nultog dana za VPN. Ostanak informiranim i postavljanje izravnih pitanja svom pružatelju ostaje najpraktičnija obrana dok industrija radi na potpunom ispravku.
