watchTowr upozorava na aktivno iskorištavanje NetScaler zero-day ranjivosti

Što su NetScaler zero-day ranjivosti i kako se iskorištavaju

Sigurnosna istraživačka tvrtka watchTowr tvrdi da su dvije nezakrpljene ranjivosti udaljenog izvršavanja koda (RCE) u Citrix NetScaleru već iskorištene u stvarnom svijetu te da se od Citrixa ne očekuje da će izdati ispravke prije početka sljedećeg tjedna. Upravo taj jaz između potvrđenog iskorištavanja i dostupne zakrpe čini ovo pravim zero-day incidentom, a ne rutinskim otkrivanjem programskih pogrešaka: napadači trenutačno imaju funkcionalan put u pogođene sustave, a branitelji još nemaju službeni ispravak koji bi mogli primijeniti.

NetScaler, prije poznat kao Citrix ADC, naširoko je rasprostranjen kao kontroler za isporuku aplikacija i pristupni gateway za udaljeni pristup. Organizacije ga koriste za upravljanje prometom prema internim aplikacijama, provedbu raspodjele opterećenja i, što je ključno, za pružanje sigurnog udaljenog pristupa, funkcionirajući slično VPN gatewayu za zaposlenike i partnere koji se povezuju izvan korporativne mreže. Budući da se ovi uređaji nalaze na rubu mreže, prema dizajnu izloženi javnom internetu, RCE ranjivost u NetScaleru napadaču daje uporište koje može biti daleko štetnije od programske pogreške skrivene duboko unutar interne aplikacije. Jednom kada je unutra, napadač ne mora probiti pojedinačne račune zaposlenika; potencijalno se može lateralno kretati kroz sve ono što je uređaj bio zadužen štititi.

Detalji o točnim tehnikama iskorištavanja još su ograničeni, što je uobičajeno u ranim danima objave zero-day ranjivosti. Ono što je za sada važno jest da je watchTowr, tvrtka s dokazanim rezultatima u praćenju iskorištenih ranjivosti mrežnih uređaja, potvrdila aktivno iskorištavanje, a Citrix je priznao da je problem dovoljno ozbiljan da opravdava ubrzani rok za izdavanje zakrpe.

Zašto ranjivosti enterprise VPN gatewaya na kraju ugrožavaju privatnost potrošača

Lako je pročitati naslov o enterprise mrežnom uređaju i pretpostaviti da je to problem za IT odjele, a ne za svakodnevne korisnike interneta. No pristupni gatewayi za udaljeni pristup poput NetScalera često su ulazna vrata upravo u sustave koji čuvaju podatke o kupcima: evidenciju naplate, zdravstvene informacije, vjerodajnice za prijavu i više. Kada napadači steknu neovlašteno izvršavanje koda na ovakvom uređaju, oni ne samo da ometaju mrežni promet. Oni potencijalno stječu polazišnu točku za dosezanje baza podataka, internih datotečnih dijeljenja i autentifikacijskih sustava koji sadrže osobne podatke kupaca koji uopće nemaju izravnu vezu s tom ranjivošću.

To je obrazac koji se više puta pojavljuje u zero-day incidentima koji uključuju rubnu infrastrukturu. Naš vodič o tome kako se odvijaju zero-day napadi objašnjava zašto je razdoblje između otkrivanja i dostupnosti zakrpe najopasnija faza u životnom ciklusu svake ranjivosti te zašto napadači hrle iskoristiti je prije nego što branitelji mogu reagirati. Izvješća o kineskim skupinama prijetnji koje hrle iskoristiti zajedničke zero-day lance pokazuju kako se sofisticirani akteri brzo prebacuju na novoobjavljene programske pogreške čim one postanu javno poznate, što je upravo rizik u kojem se korisnici NetScalera trenutačno nalaze.

Tko je u opasnosti dok Citrix finalizira zakrpu

Svaka organizacija koja pokreće nezakrpljeni NetScaler uređaj izložen internetu potencijalno je izložena dok Citrixov ispravak ne stigne. To uključuje poduzeća iz raznih industrija koja se oslanjaju na NetScaler za siguran udaljeni pristup i isporuku aplikacija, što znači da bi zaposlenici, izvođači i kupci povezani putem tih sustava mogli biti nizvodno od incidenta ako napadač uspije iskoristiti jednu od tih ranjivosti prije nego što se primijeni zakrpa.

Budući da detalji o zakrpi i CVE identifikatori za ovaj konkretni par ranjivosti nisu bili javno finalizirani u trenutku watchTowrova izvješća, organizacije bi svaku NetScaler implementaciju trebale tretirati kao prioritet za pomno praćenje umjesto da čekaju službenu obavijest kako bi djelovale. Ranjivosti koje dosegnu ovu razinu aktivnog iskorištavanja obično se dodaju na vladine popise za praćenje nakon potvrde; naš nedavni pregled o programskim pogreškama dodanim na CISA popis poznatih iskorištenih ranjivosti koristan je izvor za razumijevanje kako funkcionira taj savezni proces praćenja i kako provjeriti je li proizvod koji vaša organizacija koristi označen.

Što to znači za vas

Ako radite u IT-u ili sigurnosnim operacijama, prioritet je trenutačno vidljivost: znajte koje NetScaler uređaje vaša organizacija pokreće, potvrdite njihovu izloženost internetu i pratite Citrixovu službenu obavijest i izdanje zakrpe očekivano početkom sljedećeg tjedna. Primjenu zakrpe čim postane dostupna treba tretirati kao hitnu, a ne rutinsko održavanje.

Ako ste potrošač, nema trenutačne radnje koju trebate poduzeti jer je ovo problem enterprise infrastrukture, a ne izravna ranjivost proizvoda za potrošače. No to je podsjetnik da sigurnost vaših osobnih podataka često ovisi o odlukama IT timova u tvrtkama s kojima surađujete, odlukama poput toga koliko brzo krpaju rubne uređaje izložene otvorenom internetu.

Ključni zaključci

• Dvije nezakrpljene NetScaler RCE zero-day ranjivosti potvrđeno su pod aktivnim iskorištavanjem, prema watchTowru.
• Očekuje se da će Citrix izdati zakrpe početkom sljedećeg tjedna; do tada pogođeni uređaji ostaju izloženi.
• IT timovi trebaju sada popisati NetScaler implementacije i odmah primijeniti zakrpu nakon što bude izdana.
• Potrošači trebaju razumjeti da su ranjivosti enterprise gatewaya poput ove dio razloga zašto tvrtke koje čuvaju vaše podatke trebaju snažne i brze prakse krpanja, čak i ako vi nikada ne vidite ranjivost izravno.

Ostati informiran o incidentima iskorištavanja NetScaler zero-day ranjivosti poput ovog i razumijevanje koliko brzo napadači djeluju nakon što ranjivost postane poznata jedan je od najjednostavnijih načina da procijenite koliko ozbiljno tvrtke kojima vjerujete svoje podatke shvaćaju vlastitu sigurnost.