Cosa sono le zero-day di NetScaler e come vengono sfruttate

La società di ricerca sulla sicurezza watchTowr afferma che due vulnerabilità di esecuzione di codice in remoto (RCE) non ancora corrette in Citrix NetScaler sono già state sfruttate in the wild, e non si prevede che Citrix rilasci le correzioni prima dell'inizio della prossima settimana. È proprio questo divario tra lo sfruttamento confermato e la disponibilità di una patch a rendere questo un vero e proprio evento zero-day anziché una routine divulgazione di bug: gli attaccanti hanno attualmente un percorso funzionante verso i sistemi interessati, e i difensori non hanno ancora alcuna correzione ufficiale da applicare.

NetScaler, precedentemente noto come Citrix ADC, è ampiamente distribuito come application delivery controller e gateway di accesso remoto. Le organizzazioni lo utilizzano per gestire il traffico verso applicazioni interne, applicare il bilanciamento del carico e, cosa fondamentale, fornire accesso remoto sicuro, funzionando in modo molto simile a un gateway VPN per dipendenti e partner che si connettono dall'esterno della rete aziendale. Poiché questi appliance si trovano al margine di una rete, esposti a Internet pubblico per design, una falla RCE in NetScaler offre a un attaccante un punto d'appoggio che può essere molto più dannoso di un bug nascosto in profondità all'interno di un'applicazione interna. Una volta dentro, un attaccante non ha bisogno di compromettere i singoli account dei dipendenti; può potenzialmente muoversi lateralmente attraverso tutto ciò che l'appliance era considerata affidabile nel proteggere.

I dettagli sulle tecniche esatte di sfruttamento sono ancora limitati, il che è tipico nei primi giorni di una divulgazione zero-day. Ciò che conta per ora è che watchTowr, una società con un track record nel monitoraggio delle falle sfruttate negli appliance di rete, ha confermato lo sfruttamento attivo, e Citrix ha riconosciuto che il problema è abbastanza grave da giustificare una tempistica di patch accelerata.

Perché le falle nei gateway VPN aziendali finiscono per danneggiare la privacy dei consumatori

È facile leggere un titolo su un appliance di networking aziendale e presumere che sia un problema per i reparti IT, non per gli utenti internet di tutti i giorni. Ma i gateway di accesso remoto come NetScaler sono spesso la porta d'ingresso proprio verso i sistemi che archiviano i dati dei clienti: registri di fatturazione, informazioni sanitarie, credenziali di accesso e altro ancora. Quando gli attaccanti ottengono l'esecuzione di codice non autorizzata su un dispositivo come questo, non si limitano a disturbare il traffico di rete. Potenzialmente ottengono un punto di partenza per raggiungere database, condivisioni file interne e sistemi di autenticazione che contengono informazioni personali appartenenti a clienti che non hanno alcun rapporto diretto con la vulnerabilità.

Questo è un pattern che si ripresenta più volte negli incidenti zero-day che coinvolgono l'infrastruttura perimetrale. La nostra spiegazione su come si sviluppano gli attacchi zero-day analizza perché la finestra tra la scoperta e la disponibilità della patch è la fase più pericolosa del ciclo di vita di qualsiasi vulnerabilità, e perché gli attaccanti corrono a sfruttarla prima che i difensori possano rispondere. I rapporti su gruppi di minaccia allineati alla Cina che corrono a sfruttare catene zero-day condivise mostrano quanto rapidamente gli attori sofisticati si orientino verso falle appena divulgate una volta che diventano di dominio pubblico, che è esattamente la finestra di rischio in cui si trovano ora i clienti NetScaler.

Chi è a rischio mentre Citrix finalizza una patch

Qualsiasi organizzazione che esegue un appliance NetScaler non corretto ed esposto a Internet è potenzialmente esposta fino al rilascio della correzione di Citrix. Ciò include aziende di diversi settori che si affidano a NetScaler per l'accesso remoto sicuro e la distribuzione delle applicazioni, il che significa che dipendenti, collaboratori e clienti connessi attraverso questi sistemi potrebbero tutti essere a valle di un incidente se un attaccante riesce a sfruttare una di queste falle prima che venga applicata una patch.

Poiché i dettagli della patch e gli identificatori CVE per questa specifica coppia di falle non erano stati finalizzati pubblicamente al momento del rapporto di watchTowr, le organizzazioni dovrebbero trattare qualsiasi distribuzione di NetScaler come una priorità da monitorare attentamente anziché aspettare un avviso formale per agire. Le vulnerabilità che raggiungono questo livello di sfruttamento attivo vengono tipicamente aggiunte agli elenchi di tracciamento governativi una volta confermate; il nostro recente riepilogo sulle falle aggiunte all'elenco CISA delle vulnerabilità sfruttate note è un riferimento utile per capire come funziona quel processo di tracciamento federale e come verificare se un prodotto utilizzato dalla vostra organizzazione è stato segnalato.

Cosa significa per voi

Se lavorate nel settore IT o nelle operazioni di sicurezza, la priorità in questo momento è la visibilità: sappiate quali appliance NetScaler esegue la vostra organizzazione, confermate la loro esposizione a Internet e tenete d'occhio l'avviso ufficiale e il rilascio della patch di Citrix previsti per l'inizio della prossima settimana. L'applicazione della patch non appena sarà disponibile dovrebbe essere trattata come urgente, non come manutenzione ordinaria.

Se siete consumatori, non c'è alcuna azione immediata da intraprendere, poiché si tratta di un problema di infrastruttura aziendale e non di una falla di un prodotto diretto al consumatore. Ma è un promemoria del fatto che la sicurezza dei vostri dati personali dipende spesso da decisioni prese dai team IT delle aziende con cui interagite, decisioni come la rapidità con cui correggono i dispositivi perimetrali esposti a Internet aperto.

Punti chiave

  • Due zero-day RCE non corrette in NetScaler sono confermate come attivamente sfruttate, secondo watchTowr.
  • Si prevede che Citrix rilasci le patch all'inizio della prossima settimana; fino ad allora, gli appliance interessati rimangono esposti.
  • I team IT dovrebbero inventariare ora le distribuzioni di NetScaler e applicare la patch immediatamente una volta rilasciata.
  • I consumatori dovrebbero capire che falle nei gateway aziendali come questa sono parte del motivo per cui le aziende che detengono i vostri dati necessitano di pratiche di patching forti e rapide, anche se non vedete mai direttamente la vulnerabilità.

Rimanere informati su incidenti come questo, che coinvolgono lo sfruttamento di zero-day in NetScaler, e capire quanto rapidamente gli attaccanti si muovono una volta che una falla diventa nota, è uno dei modi più semplici per valutare quanto seriamente le aziende a cui affidate i vostri dati stiano prendendo la propria sicurezza.

FAQ: Q1: Cosa sono le vulnerabilità zero-day di NetScaler? A1: Sono due vulnerabilità di esecuzione di codice in remoto (RCE) non corrette in Citrix NetScaler. Q2: Le zero-day di NetScaler sono attivamente sfruttate? A2: Sì, watchTowr afferma che le vulnerabilità sono già state sfruttate in the wild. Q3: Quando rilascerà Citrix una patch per le falle di NetScaler? A3: Non si prevede che Citrix rilasci le correzioni prima dell'inizio della prossima settimana. Q4: A cosa serve NetScaler? A4: NetScaler, precedentemente Citrix ADC, viene utilizzato come application delivery controller e gateway di accesso remoto per la gestione del traffico, il bilanciamento del carico e l'accesso remoto sicuro. Q5: Perché le falle nei gateway VPN aziendali influiscono sulla privacy dei consumatori? A5: I gateway di accesso remoto come NetScaler spesso proteggono sistemi che archiviano dati dei clienti, quindi gli attaccanti che ottengono l'esecuzione di codice possono potenzialmente raggiungere database e sistemi di autenticazione che contengono informazioni personali. ---END---