Mik a NetScaler nulladik napi sebezhetőségei, és hogyan használják ki őket

A watchTowr biztonságkutató cég szerint két javítatlan távoli kódfuttatási (RCE) sebezhetőséget a Citrix NetScalerben már kihasználtak a vadonban, és a Citrix várhatóan nem ad ki javításokat a jövő hét elejéig. Ez a rés a megerősített kihasználás és az elérhető javítás között teszi ezt valódi nulladik napi eseménnyé, nem pedig rutin hibafeltárássá: a támadóknak jelenleg működő útvonaluk van az érintett rendszerekbe, a védelmezőknek pedig még nincs hivatalos javításuk, amelyet alkalmazhatnának.

A NetScaler, korábbi nevén Citrix ADC, széles körben telepített alkalmazáskiszolgáló-vezérlőként és távoli hozzáférési átjáróként. A szervezetek belső alkalmazások forgalmának kezelésére, terheléselosztás kikényszerítésére és – ami kritikus – biztonságos távoli hozzáférés biztosítására használják, nagyjából úgy működve, mint egy VPN-átjáró a vállalati hálózaton kívülről csatlakozó alkalmazottak és partnerek számára. Mivel ezek az eszközök a hálózat peremén helyezkednek el, tervezésüknél fogva a nyilvános internet felé nézve, a NetScalerben lévő RCE-hiba olyan támpontot ad a támadónak, amely sokkal károsabb lehet, mint egy belső alkalmazás mélyén elrejtett hiba. Miután bejutott, a támadónak nem kell egyes alkalmazotti fiókokat feltörnie; potenciálisan oldalirányban mozoghat mindazon keresztül, amit az eszköz védeni volt hivatott.

A pontos kihasználási technikákról szóló részletek még korlátozottak, ami jellemző egy nulladik napi közzététel korai szakaszában. Ami most számít, az az, hogy a watchTowr – amelynek nyilvántartása van kihasznált hálózati eszközhibák nyomon követésében – megerősítette az aktív kihasználást, és a Citrix elismerte, hogy a probléma elég súlyos ahhoz, hogy gyorsított javítási ütemtervet indokoljon.

Miért érintik a vállalati VPN-átjáró hibái a fogyasztói adatvédelmet

Könnyű elolvasni egy vállalati hálózati eszközről szóló címet, és azt feltételezni, hogy ez az IT-osztályok problémája, nem a mindennapi internethasználóké. De az olyan távoli hozzáférési átjárók, mint a NetScaler, gyakran pontosan azon rendszerek előajtaja, amelyek ügyféladatokat tárolnak: számlázási nyilvántartásokat, egészségügyi információkat, bejelentkezési hitelesítő adatokat és egyebeket. Amikor a támadók jogosulatlan kódfuttatást szereznek egy ilyen eszközön, nem csak a hálózati forgalmat zavarják meg. Potenciálisan olyan kiindulópontot szereznek, ahonnan elérhetik azokat az adatbázisokat, belső fájlmegosztásokat és hitelesítési rendszereket, amelyek olyan ügyfelek személyes adatait tárolják, akiknek egyáltalán nincs közvetlen kapcsolatuk a sebezhetőséggel.

Ez egy olyan minta, amely ismételten megjelenik a pereminformatikát érintő nulladik napi incidensekben. A nulladik napi támadások kibontakozásáról szóló magyarázatunk kifejti, miért a felfedezés és a javítás elérhetősége közötti ablak a legveszélyesebb szakasz bármely sebezhetőség életciklusában, és miért versenyeznek a támadók annak kihasználásáért, mielőtt a védelmezők reagálhatnának. A Kínához kötődő fenyegetéscsoportok versenyéről a megosztott nulladik napi láncok kihasználásáért szóló jelentések megmutatják, milyen gyorsan váltanak a kifinomult szereplők az újonnan nyilvánosságra került hibákra, amint azok nyilvános ismeretekké válnak – pontosan ez az a kockázati ablak, amelyben a NetScaler ügyfelei jelenleg vannak.

Ki van veszélyben, amíg a Citrix véglegesíti a javítást

Minden olyan szervezet, amely javítatlan, internet felé néző NetScaler eszközt üzemeltet, potenciálisan ki van téve, amíg a Citrix javítása meg nem érkezik. Ez magában foglalja azokat a vállalatokat számos ágazatban, amelyek a NetScalerre támaszkodnak biztonságos távoli hozzáféréshez és alkalmazáskiszolgáláshoz, ami azt jelenti, hogy az ezeken a rendszereken keresztül csatlakozó alkalmazottak, szerződő felek és ügyfelek mind egy incidens következményeit szenvedhetik el, ha egy támadó sikeresen kihasználja e sebezhetőségek egyikét a javítás alkalmazása előtt.

Mivel e konkrét hibapár javítási részletei és CVE-azonosítói a watchTowr jelentésének idején még nem kerültek nyilvánosan véglegesítésre, a szervezeteknek minden NetScaler-telepítést kiemelt figyelemmel kísérendő prioritásként kell kezelniük, ahelyett hogy egy hivatalos tanácsadásra várnának a cselekvéssel. Az ilyen szintű aktív kihasználást elérő sebezhetőségeket általában hozzáadják a kormányzati nyilvántartási listákhoz, miután megerősítést nyernek; a CISA ismert kihasznált sebezhetőségek listájához hozzáadott hibákról szóló nemrég megjelent összefoglalónk hasznos referencia annak megértéséhez, hogyan működik ez a szövetségi nyomon követési folyamat, és hogyan ellenőrizhető, hogy a szervezete által használt termék megjelölésre került-e.

Mit jelent ez Önnek

Ha IT-ban vagy biztonsági üzemeltetésben dolgozik, most a prioritás az átláthatóság: tudja, mely NetScaler eszközöket üzemelteti szervezete, erősítse meg azok internetes kitettségét, és figyelje a Citrix hivatalos tanácsadását és a jövő hét elejére várható javítási kiadását. A javítás alkalmazását amint elérhetővé válik, sürgősnek kell tekinteni, nem rutin karbantartásnak.

Ha fogyasztó, nincs azonnali teendője, mivel ez vállalati infrastruktúra-probléma, nem pedig közvetlenül a fogyasztóknak szóló termékhiba. De ez emlékeztető arra, hogy személyes adatai biztonsága gyakran azoknak a cégeknek az IT-csapatai által hozott döntésektől függ, amelyekkel kapcsolatba kerül – olyan döntésektől, mint hogy milyen gyorsan javítják a nyílt internet felé néző peremeszközöket.

Kulcsfontosságú tanulságok

  • A watchTowr szerint két javítatlan NetScaler RCE nulladik napi sebezhetőség aktív kihasználását erősítették meg.
  • A Citrix várhatóan a jövő hét elején adja ki a javításokat; addig az érintett eszközök ki vannak téve.
  • Az IT-csapatoknak most kell számba venniük a NetScaler-telepítéseket, és amint megjelenik, azonnal alkalmazniuk kell a javítást.
  • A fogyasztóknak meg kell érteniük, hogy az ehhez hasonló vállalati átjáróhibák is részei annak, hogy az adataikat tároló cégeknek erős, gyors javítási gyakorlatra van szükségük, még akkor is, ha Ön soha nem látja közvetlenül a sebezhetőséget.

Ha tájékozott marad az ehhez hasonló NetScaler nulladik napi kihasználási incidensekről, és megérti, milyen gyorsan mozognak a támadók, amint egy hiba ismertté válik, ez az egyik legegyszerűbb módja annak felmérésére, mennyire veszik komolyan saját biztonságukat azok a cégek, amelyekre adatait bízza.