NetScaler 零日漏洞是什么，以及它们是如何被利用的

安全研究公司 watchTowr 表示，Citrix NetScaler 中的两个未修补远程代码执行（RCE）漏洞已被在野利用，而 Citrix 预计要到下周初才会发布修复程序。已确认的利用行为与可用补丁之间的这段空窗期，正是这构成真正零日事件而非例行漏洞披露的原因：攻击者目前拥有进入受影响系统的可用路径，而防御者尚无官方修复可供应用。

NetScaler，原名 Citrix ADC，被广泛部署为应用交付控制器和远程访问网关。组织使用它来管理通往内部应用的流量、执行负载均衡，并且关键的是提供安全远程访问，其功能很像面向从企业网络外部连接的管理人员和合作伙伴的 VPN 网关。由于这些设备位于网络边缘，按设计面向公共互联网，NetScaler 中的 RCE 漏洞赋予攻击者的立足点，其危害可能远大于深藏于内部应用中的漏洞。一旦进入，攻击者无需入侵个别员工账户；他们有可能在该设备被信任保护的任何范围内横向移动。

关于确切利用技术的细节仍然有限，这在零日披露的早期阶段很常见。目前重要的是，watchTowr——一家在追踪遭利用网络设备漏洞方面有记录的的公司——已确认存在活跃利用，而 Citrix 也承认该问题严重到需要加快补丁时间表。

为什么企业 VPN 网关漏洞最终会损害消费者隐私

读到一篇关于企业网络设备的头条新闻，很容易认为这是 IT 部门的问题，而不是普通互联网用户的问题。但像 NetScaler 这样的远程访问网关，往往是存储客户数据的系统的前门：账单记录、健康信息、登录凭证等等。当攻击者在这样的设备上获得未经授权的代码执行时，他们不仅仅是在扰乱网络流量。他们有可能获得一个出发点，去访问包含个人信息的数据库、内部文件共享和身份验证系统，而这些个人信息属于与漏洞本身毫无直接关系的客户。

这种模式在涉及边缘基础设施的零日事件中反复出现。我们关于零日攻击如何展开的解读剖析了为什么从发现到补丁可用之间的窗口是任何漏洞生命周期中最危险的阶段，以及为什么攻击者会赶在防御者响应之前竞相利用它。关于与中国结盟的威胁组织竞相利用共享零日漏洞链的报道显示，老练的行为者一旦新披露的漏洞成为公开信息，就会多么迅速地转向这些漏洞，而这正是 NetScaler 客户目前所处的风险窗口。

在 Citrix 完成补丁期间，谁面临风险

任何运行未修补、面向互联网的 NetScaler 设备的组织，在 Citrix 的修复程序发布之前都可能暴露于风险之中。这包括各行业中依赖 NetScaler 提供安全远程访问和应用交付的企业，这意味着通过这些系统连接的员工、承包商和客户，如果攻击者成功在补丁应用之前利用其中一个漏洞，都可能处于事件的下游。

由于在 watchTowr 报告发布时，这对特定漏洞的补丁细节和 CVE 编号尚未公开最终确定，各组织应将任何 NetScaler 部署视为需要密切监控的优先事项，而不是等待正式公告才采取行动。达到这种活跃利用程度的漏洞，一旦确认通常会被加入政府追踪列表；我们最近关于被加入 CISA 已知遭利用漏洞列表的漏洞的汇总，是理解这一联邦追踪流程如何运作，以及如何检查你的组织所使用的产品是否被标记的有用参考。

这对你意味着什么

如果你在 IT 或安全运营部门工作，当前的优先事项是可见性：了解你的组织运行哪些 NetScaler 设备，确认它们对互联网的暴露情况，并关注 Citrix 预计下周初发布的官方公告和补丁。补丁一经发布就应立即应用，这应被视为紧急事项，而非例行维护。

如果你是消费者，没有需要立即采取的行动，因为这是企业基础设施问题，而非直接面向消费者的产品漏洞。但这提醒我们，你个人数据的安全往往取决于与你互动的公司 IT 团队所做的决策，比如他们修补面向开放互联网的边缘设备的速度有多快。

关键要点

  • 据 watchTowr 称，两个未修补的 NetScaler RCE 零日漏洞已确认正遭到活跃利用。
  • Citrix 预计下周初发布补丁；在那之前，受影响的设备仍然暴露。
  • IT 团队应立即清点 NetScaler 部署，并在补丁发布后立即应用。
  • 消费者应理解，像这样的企业网关漏洞正是为什么持有你数据的公司需要强有力且快速的修补实践，即使你从未直接看到该漏洞。

持续关注像这样的 NetScaler 零日漏洞遭利用事件，并理解攻击者一旦得知漏洞后行动有多快，是衡量你所信任的公司对待自身安全有多认真的最简单方法之一。